„Két mágneskapcsoló és egy biztonsági relé, tehát 3. kategória.” A kapcsolószekrényben minden stimmel. A beszerzési listán is. Aztán összehegedik egy érintkező, és rögtön kiderül, mennyi maradt ebből a szép rendből működés közben.
A gépkezelő kinyitja a szállítószalag védőburkolatát. A vezérlés lekapcsolja K1 tekercsét, de a teljesítményérintkezők összehegedtek. A motor továbbra is feszültséget kap. A parancs helyes volt. A mágneskapcsoló egyszerűen nem hajtotta végre.
Egy második mágneskapcsoló még megszakíthatja az energiaellátást. A diagnosztika felismerheti a hibát, és megakadályozhatja az újraindítást. Minden azon múlik, hogyan építette fel a tervező a rendszert. A dokumentációba beírni, hogy „3. kategória”, messze a munka legkönnyebb része.
A Biztonsági kategóriák az ISO 13849-1 szerint azt írják le, mennyire ellenálló egy alrendszer a hibákkal szemben, és hogyan viselkedik azok bekövetkezése után. A B, 1, 2, 3 és 4 közötti különbséget ugyanazon a feladaton lehet a legjobban megérteni: a hajtás energiaellátását akkor is meg kell szakítani, ha valami már elromlott. Az átvételi vizsgálaton minden hibátlan rendszer jól tud kinézni. A kategória akkor kezd számítani, amikor a rendszer már nem hibátlan.
Előbb a feladat, utána a készülékek a szekrényben
A gépkezelőnek meg kell igazítania egy munkadarabot. A szalagnak még azelőtt meg kell állnia, hogy az ember elérhetné a veszélyes helyet, és nyitott védőburkolat mellett állva is kell maradnia.
A tervező ezeket a követelményeket az ISO 12100 szerinti kockázatértékelésből vezeti le, majd rögzíti a biztonsági követelményspecifikációban, vagyis az SRS-ben.
A teljes biztonsági funkció három fő részből áll: érzékelni kell a védőburkolat nyitását, vezérlési döntést kell hozni, végül meg kell szakítani a hajtás energiaellátását. Mindegyik rész külön alrendszerként kezelhető. A következő változatokban a kimeneti alrendszer módosul: a mágneskapcsolók, a vezetékezésük és a felügyeletük. Az alfunkció feladata minden esetben ugyanaz: a hajtás energiaellátásának megszakítása.
A mágneskapcsoló villamosan vezérelt kapcsolóként működik. A tekercs feszültsége zárja a teljesítményérintkezőket, amelyeken keresztül a motor árama folyik. A tekercs kikapcsolásakor egy hibátlan készülék kinyitja ezeket. Az érintkezők összehegedése pontosan ezt a képességet veszi el.
Két, sorosan kapcsolt K1 és K2 mágneskapcsoló esetén a motoráram mindkettőn áthalad. Bármelyik kinyitása megszakítja az áramkört. Mindkét készülék a saját vezérlésével együtt külön lekapcsolási útvonalat, vagyis csatornát alkothat.
B kategória: K1 összehegedt, a tápellátás megmarad
A hajtást egyetlen K1 mágneskapcsoló kapcsolja le. A védőburkolat nyitásakor a vezérlés megszünteti a tekercs feszültségét, az érintkezők kinyílnak, a motor pedig elveszíti a tápellátását. Ez akár több ezer cikluson keresztül hibátlanul működhet.
A következő bekapcsoláskor azonban az érintkezők összehegednek. A szállítószalag tovább működik, ezért a gépkezelő ebből még semmit sem vesz észre. Kinyitja a burkolatot. A tekercsfeszültség eltűnik, de a motor árama tovább folyik. Nincs második elem, amely megszakíthatná. Egyetlen hiba elvette az alrendszertől a hajtás lekapcsolásának képességét.
Ha ehelyett a tekercs vezetéke szakadna meg, a hibátlan mágneskapcsoló leoldana. Más hiba, más következmény. Az a mondás, hogy „hiba esetén a mágneskapcsoló úgyis elenged”, remekül működik mindaddig, amíg a mondat szerzője maga válogatja meg a hibákat.
A B kategória alapvető biztonsági elvek alkalmazását, valamint a tényleges üzemi körülményekhez illeszkedő alkatrészválasztást követel. A mágneskapcsolónak el kell viselnie a terhelést, a kapcsolási gyakoriságot és a szekrény hőmérsékletét. A B betű nem engedély arra, hogy azt szereljük be, ami éppen a raktárban maradt.
Mikor ad a B kategória PL a, és mikor PL b szintet?
Két látszólag azonos rendszer veszélyes meghibásodásainak gyakorisága nagyon eltérhet. Az egyik mágneskapcsoló műszakonként egyszer indít motort. A másik minden egyes munkadarabnál. Ugyanaz a típus, egészen más kapcsolásszám.
A tervező figyelembe veszi a készülék tartósságát és a gép tényleges üzemét. Meghatározza az MTTFD értéket, vagyis a veszélyes meghibásodásig eltelt átlagos időt. Minél nagyobb ez az érték, statisztikailag annál ritkábban következik be veszélyes meghibásodás. A csatornában minden olyan elemet számításba kell venni, amelynek hibája megszüntetheti a lekapcsolási képességet.
| A csatorna MTTFD értéke | PFH – a veszélyes meghibásodás átlagos gyakorisága óránként | Elért PL |
|---|---|---|
| 10 év | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 év | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 év | 5,71 × 10⁻⁶ 1/h | PL b |
10 évnél az eredmény PL a, 12 évnél már PL b. A PFH 10⁻⁵ 1/h alá csökken. A megbízhatóság megváltozott; az összehegedt mágneskapcsoló utáni viselkedés nem. Az MTTFD statisztikai paraméter. A számításban szereplő „20 év” nem húszéves garancia és nem automatikus csereperiódus. A csere időpontját a készülék üzemi feltételei és használati korlátai alapján kell meghatározni.
Ezek az értékek csak a kimeneti alrendszerre vonatkoznak. A teljes funkciónál hozzáadódik az érzékelő és a logika PFH értéke: PFHbemenet + PFHlogika + PFHkimenet. Az összeget a PL-tartományokkal kell összevetni, miközben a teljes eredményt a leggyengébb alrendszer PL értéke is korlátozza. Így egy PL b kimenet a többi résszel együtt már csak PL a funkciót eredményezhet.
A B kategória felső határa PL b. Ha az előírt teljesítményszint, vagyis a PLr értéke d, más megoldás kell. Az átvételkor végrehajtott újabb sikeres burkolatnyitás ezen semmit sem változtat. Minden egyetlen csatornától függ: ha az összehegedt K1 nem kapcsol le, a védelem elveszett.
1. kategória: ugyanaz a baj történjen meg ritkábban
A hajtást továbbra is egyetlen K1 kapcsolja le. A tervező azonban magasabb megbízhatósági követelményeket ír elő, és szigorúbban kezeli a készülék alkalmazási feltételeit. A B kategória elvei mellett jól bevált alkatrészeket és jól bevált biztonsági elveket használ.
A csatorna MTTFD értékének magasnak kell lennie: az egyszerűsített módszerben 30 és 100 év között. A „jól bevált” mindig konkrét üzemi körülményekre vonatkozik. Egy készülék éveken át gond nélkül kapcsolhatott fűtőtesteket, majd most nagy indítóáramú, sűrűn kapcsolt motort kap. Az ismerős gyártói jelzés marad. A terhelés már teljesen más.
A kiválasztás alapja hasonló alkalmazások dokumentált üzemi tapasztalata vagy a megfelelő szabványok szerinti kialakítással, ellenőrzéssel és validálással igazolt tulajdonság. Az ISO 13849-2 olyan alkatrészeket és feltételeket is megnevez, amelyek mellett egy elem jól beváltnak tekinthető.
A tervező olyan elveket alkalmaz, amelyek csökkentik a hibák kialakulását vagy veszélyes következményeiket. Aztán K1 mégis összeheged. A tekercs kikapcsol, az érintkezők zárva maradnak, a motor továbbra is feszültség alatt áll. Az 1. kategória csökkenti ennek valószínűségét. Második csatornát nem teremt.
Nagyobb megbízhatóság: PL b szinttől PL c szintig
30 éves csatorna-MTTFD esetén a K.1 táblázat PL b értéket ad. 39 évnél a PFH 3 × 10⁻⁶ 1/h alá csökken, és az eredmény PL c lesz.
| A csatorna MTTFD értéke | PFH – a veszélyes meghibásodás átlagos gyakorisága óránként | Elért PL |
|---|---|---|
| 30 év | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 év | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 év | 1,14 × 10⁻⁶ 1/h | PL c |
Az 1. kategória felső határa PL c. A jobb készüléknek van értelme: ritkábban hibásodik meg. Ha viszont éppen érintkező-összehegedéssel hibásodik meg, nincs második lekapcsolási útvonal. A védelem egyetlen, nagyobb megbízhatóságú csatornán áll vagy bukik.
2. kategória: a rendszer ellenőrzi, hogy K1 végrehajtotta-e a parancsot
A gépkezelő kinyitja a védőburkolatot. A vezérlés kikapcsolja K1-et, majd várja az érintkezők nyitásának visszaigazolását. Itt a parancs végrehajtását már ellenőrizni kell.
A visszajelzést a mágneskapcsoló tükörérintkezője adja. A kialakítása kizárja a zárását, ha valamelyik teljesítményérintkező összehegedve marad. A rendszer tehát információt kap arról, hogy K1 megszakította-e az áramkört.
K1 összehegedt. A visszaigazolás nem érkezik meg. A teszt felismeri a hibát és reakciót indít. Ebben a változatban egy K1-gyel sorosan kapcsolt KT mágneskapcsoló szakítja meg az energiaellátást. A vezérlés a hiba elhárításáig blokkolja az újraindítást.
A szabvány a tesztelő berendezést TE, annak kimenetét OTE jelöléssel írja le. Itt az OTE vezérli KT-t. K1 a normál lekapcsolást végző funkcionális csatornához tartozik. A TE és az OTE tesztcsatornát alkot: ellenőrzi a feladat végrehajtását, és hiba esetén reakciót indít.
Két mágneskapcsoló van a szekrényben, mégis 2. kategóriáról beszélünk. KT csak a K1 hibájának felismerése után kap lekapcsolási feladatot. Már itt csúnyán veszít a készülékek megszámolása a kapcsolási rajz elolvasásával szemben.
Tegnap még működött, a mai bekapcsoláskor már összehegedt
K1 hibátlanul teljesíti a tesztet. A következő bekapcsoláskor azonban összehegednek az érintkezői. A következő vizsgálatig a funkcionális csatorna működésképtelen. Az előző teszteredmény nem rejtett el semmit: a gép azóta romlott el.
A 2. kategória ezért a tesztek között elveszítheti az alfunkciót. A tervezőnek meg kell határoznia, mikor történjen a teszt, és milyen gyorsan kövesse a reakció. Ha az ellenőrzés a védőburkolat nyitásakor indul, a hiba felismerésének, KT kikapcsolásának és a mozgás megállításának még azelőtt meg kell történnie, hogy az ember elérné a veszélyt.
PLr d követelménynél az OTE kimenetnek biztonságot nyújtó állapotot kell kezdeményeznie, és azt a hiba megszüntetéséig fenn kell tartania. Ebben a rendszerben ezt KT végzi. Egy piros hibaüzenet a kijelzőn feszültség alatt hagyná a motort. Legalább rendkívül érthetően közölné a gépkezelővel, hogy a védelem miért nem működik.
Az ISO 13849-1 6.1.3.2.4 pontja legalább a funkcióigény gyakoriságának százszorosát elérő tesztgyakoriságot ír elő, vagy az igény pillanatában azonnali tesztet, amely még a veszélyes tér elérése előtt felismeri a hibát és veszélytelen állapotba viszi a gépet. A védőburkolat nyitása ebben a példában a funkció igénylése. A 100:1 arány nem száz próbát jelent minden burkolatnyitás előtt.
A TE–OTE tesztcsatorna MTTFD értékének meg kell haladnia a funkcionális csatorna MTTFD értékének felét. A funkcionális csatorna minden részéhez legalább alacsony diagnosztikai lefedettség szükséges. Alkalmazni kell a B kategória követelményeit, a jól bevált biztonsági elveket és a két csatornát érintő közös okú meghibásodások elleni intézkedéseket.
PLr c szintig az OTE-nek szintén biztonságot nyújtó állapotot kell kezdeményeznie, ha ez észszerűen megvalósítható. Ha nem, a szabvány szerint bizonyos esetekben figyelmeztetés is elegendő lehet. PLr d esetén azonban biztonságot nyújtó reakció kötelező.
A tesztelés PL d szintet is adhat, de a megbízhatóság is számít
A DC, vagyis a diagnosztikai lefedettség a veszélyes meghibásodások felismerésének hatékonyságát írja le. A teljes alrendszerhez DCavg átlagos diagnosztikai lefedettséget kell meghatározni, figyelembe véve az egyes részek veszélyes meghibásodásainak gyakoriságát.
Azonos, DCavg = 90% értéknél a 2. kategória a K.1 táblázat szerint 3 éves csatorna-MTTFD mellett PL a, 10 évnél PL b, 30 évnél PL c, 100 évnél pedig PL d eredményt ad. A teszt minden változatban jelen van. Az eltérés abban van, milyen gyakran kell megbirkóznia a hibákkal.
| A funkcionális csatorna MTTFD értéke | PFH – a veszélyes meghibásodás átlagos gyakorisága óránként | Elért PL |
|---|---|---|
| 3 év | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 év | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 év | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 év | 2,29 × 10⁻⁷ 1/h | PL d |
A 2. kategóriában a védelem attól függ, hogy a teszt felismeri-e a hibát, és a rendszer időben képes-e reagálni. Az ellenőrzési idő nem apró programozási részlet, hanem a biztonsági funkció része.
3. kategória: K2 a teszteredmény megvárása nélkül lekapcsol
K1 és K2 sorosan áll a motor energiaellátásában. A gépkezelő kinyitja a burkolatot, a vezérlés pedig mindkét mágneskapcsolónak kikapcsolási parancsot ad. Mindkettő saját vezérlési útvonallal rendelkezik, és önállóan is meg tudja szakítani a hajtás tápellátását.
Az összehegedt K1 zárva marad. K2 kinyitja az érintkezőit és megszakítja az áramot. A második csatorna az első hibája ellenére végrehajtja a védelmi feladatot.
Ez a lényegi különbség az előző változathoz képest. Ott KT csak azután avatkozott be, hogy a teszt felismerte K1 hibáját. Itt K2 azért kap kikapcsolási parancsot, mert a védőburkolat kinyílt. Nem kell megvárnia K1 diagnosztikáját.
A szállítószalag megállt, de a javítás még hátravan
A gépkezelő ugyanazt látja, mint máskor: a szalag megállt. A kapcsolószekrényben azonban az egyik mágneskapcsoló már nem működik. A diagnosztika felismeri K1 nyitási visszaigazolásának hiányát, és blokkolja a következő indítást.
K2 elvégezte a hibás csatorna feladatát. Ettől K1 még nem javult meg. Ha a vezérlés a felismert hiba ellenére engedné a további üzemet, a következő lekapcsolás már kizárólag K2-től függne.
A 3. kategória megköveteli, hogy egyetlen hiba után az alfunkció megmaradjon. Ez az értékelt alrendszer összes elemére és összeköttetésére vonatkozik. Ha egyetlen vezérlési hiba mindkét tekercset feszültség alatt tarthatja, a két hibátlan mágneskapcsoló tökéletesen végrehajthatja ugyanazt a rossz parancsot.
Legalább alacsony diagnosztikai lefedettség is szükséges. Az egyedi hibát a funkció igénylésekor vagy – ha ez a gyakorlatban indokolható – a következő igénylés előtt fel kell ismerni. Bizonyos hibák rejtve maradhatnak. Későbbi felhalmozódásuk megszüntetheti a védelmet. Pontosan itt kezd elválni egymástól a 3. és a 4. kategória.
A 3. kategória PL c, PL d vagy PL e szintet is elérhet
DCavg = 90% és csatornánként 10 éves MTTFD mellett a K.1 táblázat eredménye PL c. 30 évnél PL d, 100 évnél PL e. A „3. kategória egyenlő PL d” kényelmes rövidítés, csak éppen két másik lehetséges eredményt tüntet el.
| Az egyes csatornák MTTFD értéke | PFH – a veszélyes meghibásodás átlagos gyakorisága óránként | Elért PL |
|---|---|---|
| 10 év | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 év | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 év | 4,29 × 10⁻⁸ 1/h | PL e |
Az MTTFD érték minden csatornára külön vonatkozik. Két, egyenként 30 éves csatornából nem lesz 60 éves MTTFD értékű csatorna. Továbbra is alkalmazni kell a B kategória követelményeit, a jól bevált biztonsági elveket és a közös okú meghibásodások elleni intézkedéseket.
K2 K1 hibája ellenére lekapcsolja a hajtást. A diagnosztika arról dönt, hogy a rendszer kaphat-e engedélyt a következő ciklusra.
4. kategória: a diagnosztikán átcsúszó hiba is problémává válik
K1 összehegedése után K2 lekapcsolja a hajtást, a vezérlés pedig megakadályozza az újraindítást. Ugyanez történt az előző változatban. A 3. és 4. kategória közötti különbség csak szélesebb körű elemzésnél látszik: mit ismer fel a rendszer, mikor ismeri fel, és mi történik a fel nem ismert hibákkal?
A 4. kategóriában egyetlen hiba után a funkciónak működőképesnek kell maradnia, a hibát pedig a funkció igénylésekor vagy a következő igénylés előtt fel kell ismerni. Ha ez időben nem lehetséges, a hibák felhalmozódása sem szüntetheti meg a védelem hatásosságát.
A rendszer azt is ellenőrzi, hogy igazat mond-e a visszajelzés
Minden mágneskapcsoló külön felügyelt tükörérintkezővel rendelkezik. A vezérlés a teljes ciklus alatt ellenőrzi a válaszát:
- Bekapcsolás előtt mindkét mágneskapcsoló kikapcsolt állapotban van. A tükörérintkezőknek igazolniuk kell a teljesítményáramkörök nyitását.
- A mágneskapcsoló bekapcsolása után a nyitott állapot visszaigazolásának a meghatározott időn belül el kell tűnnie.
- Kikapcsolás után a visszaigazolásnak vissza kell térnie.
- Összehegedt K1 esetén nem tér vissza. K2 megszakítja a tápellátást, a logika pedig blokkolja az újraindítást.
A 4. kategória legalább 99%-os DCavg értéket követel. De miért kell a visszaigazolás eltűnését is ellenőrizni? Mert a tükörérintkező két vezetéke zárlatba kerülhet. Ekkor a jel folyamatosan azt állítja, hogy „K1 nyitva”, még akkor is, amikor a mágneskapcsoló éppen bekapcsolt.
Az a rendszer, amely csak indítás előtt ellenőrzi a jel jelenlétét, elfogadná ezt a hamis visszaigazolást. A jelváltozás ellenőrzése azonban felismeri az ellentmondást: K1 bekapcsolási parancsot kapott, miközben a „nyitva” jel megmaradt. A vezérlés kikapcsolja a kimeneteket és blokkolja a működést. A gépkezelő nyomogathatja a visszaállítást, de attól sem a zárlatos vezeték, sem az összehegedt érintkező nem válik szét.
Ilyen diagnosztika 3. kategóriában is alkalmazható. A 4. kategóriát az egész alrendszer viselkedése határozza meg a vizsgált hibákkal és azok felhalmozódásával szemben. A tervezőnek a vezérlőáramköröket, a visszajelzést és ezek meghibásodásainak következményeit is elemeznie kell.
Két szelep megmutatja, miért fontos mindez
V1 és V2 két, sorosan beépített ülékes szelep, amelyek a munkahenger olajellátását zárják el. Mindkettő önállóan is képes megszakítani az áramlást. Érzékelők felügyelik a záróelemek helyzetét.
V1 szelepülékének tömítése megsérül. A záróelem eléri a „zárva” helyzetet, de a sérülés miatt olaj szivárog át. A helyzetérzékelő továbbra is igazat mond. A hibátlan V2 megállítja az áramlást, ezért a gépen egyelőre semmi sem történik.
Később, ettől független okból V2 is szivárogni kezd. A két szelepen átjutó olaj már elegendő a munkahenger veszélyes elmozdulásához. A kijelzőn továbbra is két „zárva” visszaigazolás látható. Tökéletesen egyetértenek egymással, és teljesen használhatatlanok ennek a hibának a felismerésére.
Ez fel nem ismert hibák olyan felhalmozódása, amely 3. kategóriában megszüntetheti a védelmet. A 4. kategóriánál ezt a folyamatot meg kell szakítani: vagy időben fel kell ismerni a biztonság szempontjából jelentős szivárgást, vagy a vizsgált hibahalmozódás mellett is fenn kell tartani a funkciót.
Az egyes szelepek külön végzett tömörségvizsgálata pontosan azt ellenőrzi, amit a helyzetérzékelő nem. A szivárgás például növelheti a nyomást a szelep mögötti, a munkahengertől leválasztott teszttérben. A nyomásérzékelő észleli a növekedést, a rendszer pedig blokkolja a további működést.
Ha mindkét zárt szelepet egyszerre ellenőriznénk, a tömör V2 elrejthetné V1 szivárgását. A teszt küszöbértékének és időtartamának még a veszély kialakulása előtt fel kell fednie a biztonság szempontjából jelentős szivárgást. A tervezésnek a szelepek mögött maradó nyomást is kezelnie kell: az új energia beáramlásának megszakítása nem tünteti el a már tárolt energiát.
A 99%-nak a diagnosztika tényleges működéséből kell következnie
A 4. kategória magas, legalább 99%-os DCavg értéket és mindkét csatornán magas MTTFD értéket követel. A 99% a felismert veszélyes meghibásodások gyakoriságára vonatkozik. Kilenc ritka hibatípus felismerése és egy gyakori figyelmen kívül hagyása gyenge eredményt adhat. A kipipált lista ilyenkor jobban néz ki, mint maga a védelem.
DCavg = 99% esetén a K.1 táblázat a 4. kategóriára 30 és 100 éves csatorna-MTTFD mellett egyaránt PL e értéket ad. A PFH különbözik, de mindkét eredmény ugyanabba a PL-tartományba esik.
| Az egyes csatornák MTTFD értéke | PFH – a veszélyes meghibásodás átlagos gyakorisága óránként | Elért PL |
|---|---|---|
| 30 év | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 év | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 év | 9,06 × 10⁻¹⁰ 1/h | PL e |
A 4. kategória modellje csatornánként legfeljebb 2 500 éves MTTFD értéket enged. Ez továbbra is statisztikai paraméter. A B kategória elvei, a jól bevált biztonsági elvek és a közös okú meghibásodások elleni intézkedések itt is kötelezők.
Az ISO 13849-1 6.1.3.2.6 pontja szerint a gyakorlatban elegendő lehet két hiba kombinációinak vizsgálata. A rendkívül kis valószínűségű, fel nem ismert meghibásodások figyelmen kívül hagyásához dokumentált és ellenőrzött elemzés szükséges, például FMEA, vagyis hibamód- és hatáselemzés.
A diagnosztikának a feladat végrehajtásának képességét kell vizsgálnia. Egy szelep helyesen jelezheti a zárt helyzetet, miközben továbbra is átengedi az olajat.
Öt kategória, egyetlen összehegedt K1
B és 1. kategóriában K1 összehegedése után a motor feszültség alatt marad. A 2. kategóriájú változatban KT szakítja meg az energiaellátást, miután a TE felismerte a hibát. A 3. és 4. kategóriában K2 kapcsol le, mert a védőburkolat nyitásával egyidejűleg kikapcsolási parancsot kap. A diagnosztika felismeri a hibát és blokkolja a következő ciklust.
Ezért a rendszer értékelése nem állhat meg az első sikeres védelmi reakciónál. Azt is meg kell vizsgálni, mi történik utána.
Két mágneskapcsoló ugyanattól a zárlattól is elbukhat
Eddig K1 hibásodott meg, K2 pedig megmentette a lekapcsolást. K2 után azonban zárlat keletkezik. A zárlati áram mindkét zárt mágneskapcsolón átfolyik, és mindkettőt károsítja. A két csatorna ugyanazzal a kiváltó okkal találkozott. Ez CCF, vagyis közös okú meghibásodás.
A 3. és 4. kategóriában ez mindkét funkcionális csatornát, a 2. kategóriában pedig a funkcionális és a tesztcsatornát érinti. A tervezőnek konkrét műszaki intézkedésekkel kell korlátoznia a közös kitettségeket.
K2 zár elsőként, és utolsóként nyit
Először K2 zár. K1 még nyitott, ezért a motoráram nem folyik. Ezután K1 zárja az áramkört és kapcsolja a terhelést. Kikapcsoláskor fordított a sorrend: K1 szakítja meg az áramot, K2 pedig valamivel később, már terhelőáram nélkül nyit.
Üzem közben mindkét készüléken ugyanaz az áram folyik, de a kapcsolási igénybevételük eltér. K2 rendszerint elkerüli az indítóáram bekapcsolását és a terhelés megszakítását, ezért kisebb az érintkezők villamos kopása. A mechanika azonban minden ciklusban mozog, tehát a mechanikai kopás megmarad.
K2-t úgy kell kiválasztani, hogy önállóan is meg tudja szakítani a teljes terhelést. K1 összehegedésekor pontosan ezt kell tennie. A kikapcsolásnak meghatározott időn belül, K1 visszaigazolásának megvárása nélkül kell megtörténnie. Összehegedéskor ilyen visszaigazolás nem is érkezik. A késleltetésnek és a készülékek működési idejének bele kell férnie a biztonsági funkció előírt reakcióidejébe.
A zárlatvédelemnek korlátoznia kell a közös esemény következményeit
A kapcsolási sorrend különböző igénybevételt hoz létre be- és kikapcsoláskor. Zárlat esetén azonban, amikor mindkét mágneskapcsoló zárva van, az áram mindkettőt terheli. Az F védelmi készüléknek meg kell szakítania ezt az áramot. A következményt az áram nagysága és fennállásának ideje határozza meg.
A tervező meghatározza a beépítés helyén várható zárlati áramot, majd együtt ellenőrzi a konkrét mágneskapcsolót, a védelem típusát és névleges áramát, a feszültséget, valamint az alkalmazási feltételeket. A gyártói adatok alapján kell igazolni az együttműködésüket. A motor névleges árama önmagában ehhez kevés.
A zárlat során összehegedt érintkezők az F működése után is zárva maradhatnak. A biztosító megszakítja az áramot. A mágneskapcsolók automatikus megjavítása nincs benne a szolgáltatásban. Újraindítás előtt mindkét készüléket ellenőrizni kell, a hibákat pedig el kell hárítani.
Az IEC 60947-4-1 8.2.5.1 pontja a 2-es típusú koordináció mellett is megengedi az érintkezők összehegedésének lehetőségét. A szükséges karbantartási műveleteket a gyártó adja meg. Az ajánlottól eltérő zárlatvédelmi készülék alkalmazása érvénytelenítheti a koordinációt.
Közös kábelút, közös tápegység, közös túlmelegedés
A két tekercs vezetékei ugyanabban a kábelkötegben futnak. A köteg összenyomódik, és mindkét vezérlővezeték +24 V-ra záródik. Az elkülönített, védett nyomvonalak és külön kapcsok csökkentik annak esélyét, hogy egyetlen hiba mindkét csatornát érintse.
A közös tápegység meghibásodás után túl nagy feszültséget ad. A tervezőnek ismernie kell a tápegység hibaviselkedését, és szükség esetén megfelelő feszültségkorlátozást vagy külső védelmet kell alkalmaznia.
Mindkét mágneskapcsoló egy frekvenciaváltó fölött melegszik. A ventilátor meghibásodása után a hőmérséklet túllépi a megengedett értéket. A készülékelrendezést, a távolságokat és a hűtést erre az esetre is méretezni kell. Az átvételkor nyitva hagyott kapcsolószekrény szellőzése általában kiváló. Csak éppen nem ez az üzemi állapot.
Mindkét csatorna a frekvenciaváltó motorvezetékei mellett fut. A nyomvonalak szétválasztása, az árnyékolás és az egyenpotenciálra hozó összekötések csökkenthetik az elektromágneses zavarok közös hatását. A zavartűrésnek a tényleges üzemi környezethez kell igazodnia.
Az ISO 13849-1 F melléklete pontozással rendezi a CCF elleni intézkedéseket. Legalább 65 pont szükséges. Például a csatornák fizikai elkülönítése 15, a megfelelő túláramok és túlfeszültségek elleni védelem 15, az elektromágneses zavarok elleni intézkedések 25, az egyéb környezeti hatások kezelése 10 pontot érhet.
Ez az eredmény azonos mágneskapcsolókkal is igazolható. Eltérő konstrukció, technológia, terhelés vagy gyártó egyetlen tételben legfeljebb 20 pontot adhat. Két külön márkanév ugyanazon a terméken továbbra is ugyanaz a termék. Egy tétel csak teljes megvalósítás esetén ér pontot; a félig végrehajtott intézkedés értéke nulla.
A második csatorna csak akkor segít, ha egy közös ok nem veszi el egyszerre mindkét csatorna működőképességét.
Hol van a két csatorna az érzékelőben, a relében és a PLC-ben?
K1-re és K2-re könnyű rámutatni. Elektronikus készülékekben a csatornák egyetlen házon belül is elhelyezkedhetnek. A szabvány logikai struktúrát ír le; egy konkrét készülék belső megoldását annak gyártója határozza meg.
Két érzékelő egyetlen védőburkolatnál
Az S1 és S2 induktív érzékelő a zárt burkolathoz rögzített fémelemet érzékeli. Mindegyik saját jelet ad a vezérlés külön bemenetére. A működéshez két „zárva” visszaigazolás szükséges.
S1 meghibásodik és állandóan „zárva” állapotot jelez. A gépkezelő kinyitja a burkolatot, a fémelem eltávolodik mindkét érzékelőtől. A hibátlan S2 jele megváltozik, a vezérlés pedig leállítási parancsot ad. Egyetlen visszaigazolás elvesztése elegendő a reakcióhoz.
Egy biztonsági érzékelő, két OSSD-kimenet
Egy induktív biztonsági érzékelő belső diagnosztikával és két felügyelt OSSD elektronikus kimenettel rendelkezhet. A fémelem eltávolításakor mindkét kimenet kikapcsol, és leállítási igényt küld a vezérlésnek. A diagnosztika a kikapcsolási képességüket is felügyeli.
Egy hagyományos érzékelő két kimenete egészen másképp működhet. Egyetlen elektronikus áramkör érzékeli a fémet, majd ugyanaz az eredmény vezérli mindkét kimenetet. A NO kimenet a fém érzékelésekor bekapcsol, az NC kimenet pedig kikapcsol.
Ha a közös elektronika nyitott burkolat mellett tévesen fémet érzékel, mindkét kimenet pontosan úgy viselkedik, mintha a burkolat zárva lenne. Az ellentétes kimeneti állapotok ellenőrzése nem tárja fel a hibát. A vezérlés ugyanannak a tévedésnek két változatát kapta. Ugyanezt eredményezi egyetlen jel két bemenetre történő elágaztatása.
Biztonsági relé és vezérlő
Egy hagyományos biztonsági relében két belső relé, R1 és R2 működik. A működést engedélyező érintkezőik sorosan kapcsolódnak. Ha R1 egyik érintkezője összeheged, R2 továbbra is meg tudja szakítani a kimenetet. A mechanikailag kényszervezetett ellenőrző érintkezők lehetővé teszik az összehegedés felismerését és az újraindítás blokkolását.
Egy biztonsági feladatokra alkalmas PLC két processzort és eredmény-összehasonlítást használhat. Az egyik tévesen mozgási engedélyt, a másik leállítást számít. Az eltérés védelmi reakciót vált ki. A tesztek a memóriát, a program végrehajtását, valamint a be- és kimeneteket is lefedik.
Ezzel szemben egy hagyományos PLC-ben két programmásolat ugyanazon a processzoron futhat. A processzor hibája mindkét másolatot érinti. A programkód lemásolása könnyebb, mint a hibatűrés megteremtése – és egészen más eredményt ad.
Biztonsági fényfüggöny
A gépkezelő megszakítja az adó és a vevő közötti fénysugarakat. A fényfüggöny kikapcsolja az OSSD1 és OSSD2 kimenetet. Ha a hibás OSSD1 bekapcsolt állapotban marad, az OSSD2 kikapcsolása még mindig elegendő ahhoz, hogy a csatlakoztatott vezérlés leállítási parancsot adjon.
Minden kimenetet a számára kijelölt bemenetre kell vezetni. A diagnosztika a kimeneteket és az összeköttetéseiket is felügyeli. A készülék dokumentációjában ellenőrizni kell az elért PL értéket, a kategóriát, a reakcióidőt és az előírt bekötést. Így használhatók fel helyesen egy kész alrendszer tulajdonságai az adott biztonsági funkcióban.
Azonos PL, eltérő viselkedés a hiba után
Az egyik tervező 2. kategóriában, a másik 3. kategóriában ér el PL d szintet. Mindkét eredmény lehet helyes. Az első nagy megbízhatóságú, tesztelt funkcionális csatornát alkalmazott; a második két funkcionális csatornát.
| Kategória | A csatorna MTTFD értéke | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 év | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 év | 90% | 2,65 × 10⁻⁷ | d |
A 2. kategóriánál megadott MTTFD a funkcionális csatornára vonatkozik. A 3. kategóriánál mindkét csatornára külön. Mindkét PFH a PL d tartományba esik, de a 2. kategória a tesztek között elveszítheti az alfunkciót, míg a 3. kategória egyetlen hiba után is megtartja.
Ha az SRS vagy az adott gépre vonatkozó C típusú szabvány előírja a funkció megmaradását egyetlen hiba esetén, a tervezőnek ezt a viselkedést kell biztosítania. A d betű önmagában nem dönti el a megoldást.
Ugyanaz a kategória, jobb diagnosztika
3. kategóriában, csatornánként 100 éves MTTFD mellett a DCavg 60%-ról 90%-ra emelése PL d szintről PL e szintre mozdítja az eredményt.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
A nagyobb diagnosztikai lefedettségnek hatékonyabb hibafelismerésből és megfelelő reakcióból kell származnia. A visszajelzés jelváltozásának ellenőrzése felismerheti azt a zárlatot, amely állandóan nyitottnak mutatja a mágneskapcsolót. Ez valóban megváltoztatja a rendszer működését. Ha egy számítóprogramban 60%-ról 90%-ra állítunk át egy mezőt, egyelőre csak a kinyomtatott eredmény változott meg.
A számpéldák az ISO 13849-1 alrendszermodelljeiből származnak. A 6.1.8 szerinti módszer 20 éves tervezett használatot, állandó meghibásodási intenzitást és megfelelő CCF-intézkedéseket feltételez. A korábban elhasználódó elemeknél figyelembe kell venni a használati korlátokat.
A 2. kategóriában a tesztcsatorna és a tesztgyakoriság, illetve a funkcióigénykori reakcióidő követelményei is érvényesek. Időszakos tesztnél a bemutatott PFH-értékek legalább 100:1 teszt- és igénygyakorisági arányhoz tartoznak. A K.1 táblázat 1. megjegyzése szerint a legalább 25:1 arány becslése a táblázatos PFH 1,1-es szorzásával végezhető. Az alacsony, közepes és magas DCavg táblázatos értékei rendre 60%, 90% és 99% mellett készültek.
A PL a teljesítményszintet mutatja. A kategória azt teszi érthetővé, hogyan kezeli a rendszer a hibákat. A helyes megoldás kiválasztásához mindkettő kell.
A mágneskapcsolók készen állnak a lekapcsolásra, csak a parancs nem érkezett meg
A K1–K2 alrendszer PL e szintet ér el. A burkolat érzékelője azonban tévesen azt közli a logikával, hogy az ajtó zárva van. A vezérlés engedélyezi a mozgást, így mindkét mágneskapcsoló bekapcsolva marad. Lehetnek hibátlanok és tökéletesen felügyeltek. A probléma korábban, a funkció bemenetén keletkezett.
Ezért a teljes láncot kell értékelni: bemenet → logika → kimenet, az összeköttetésekkel együtt. Ismert PFH-értékű, sorosan kombinált alrendszerek esetén az értékeket össze kell adni. A teljes PL eredményét az összeg és a leggyengébb alrendszer PL értéke egyaránt korlátozza.
Három, külön-külön 4 × 10⁻⁸ 1/h PFH-értékű alrendszer összege 1,2 × 10⁻⁷ 1/h, vagyis PL d. Mindegyik külön belefért a PL e tartományba. A számítás egyszerű: a teljes funkciónak több olyan pontja van, ahol veszélyesen meghibásodhat.
A részleteket az ISO 13849-1 szerinti PL-számításról szóló cikk mutatja be. Az energiaellátás megszakítása után a szalagnak még időre van szüksége a lefékezéshez. A védelemnek azelőtt kell működnie, hogy az ember elérné a veszélyt. Ezt jól szemlélteti a biztonsági fényfüggöny távolságának változása a reakcióidő módosulása után. Különböző módszerekkel értékelt alrendszerek összekapcsolásakor pedig hasznos az ISO 13849 vagy IEC 62061 összehasonlítása.
Néhány év múlva valaki kicseréli K1-et
Az új mágneskapcsoló névleges árama azonos, és a készülék ráfér a sínre. A karbantartónak azonban megfelelő tükörérintkezőre, megfelelő működési időkre és tartóssági adatokra is szüksége van. Ezek a tulajdonságok a terv részei voltak. A „24 V és ugyanannyi amper” leírás éppen azt hagyja ki, amire a diagnosztikának szüksége van.
A dokumentációból vissza kell fejthetőnek lennie, miért ezt a készüléket választották, mit felügyel a rendszer, és hogyan reagál a hibára. Enélkül marad a telefon a program szerzőjének és a remény, hogy még emlékszik minden feltétel okára. Így válik a terv igazolása egyetlen ember emlékezetének függvényévé.
| Mező | Bejegyzés |
|---|---|
| Hatókör | K1–K2 kimeneti alrendszer az összeköttetésekkel és a felügyelettel; feladata a hajtás energiaellátásának megszakítása. |
| Vizsgált hiba | K1 a kikapcsolási parancs ellenére zárva marad. |
| Előírt reakció | K2 önállóan lekapcsolja a hajtást. K1 visszajelzésének elmaradása feltárja a hibát és blokkolja az újraindítást. |
| Beszerzendő bizonyíték | Hibaelemzés és T-01 vizsgálat: K2 lekapcsolási képességének, a reakcióidőnek, a hibafelismerésnek és a blokkolásnak az ellenőrzése. Az eredményt a rendszer konkrét változatához kell rögzíteni. |
A teljes lap összekapcsolja ezt a bejegyzést az SRS-sel, a kapcsolási rajz verziójával, az MTTFD, DCavg és CCF alapadataival, valamint a validálás eredményeivel. A feltételezett hibakizárásokat is megindokolja.
A kategória igazolási lapjának letöltése angol nyelvű PDF-ben: a K1–K2 példa és a saját projekthez használható, számítógépen kitölthető űrlap egyetlen fájlban.
A vezetőnek nem kell saját kezűleg PFH-értéket számolnia. Megkérheti a szállítót, hogy mutasson meg egyetlen hibát a kapcsolási rajzon: mi romlik el, mi védi továbbra is az embert, mikor veszi észre a vezérlés a problémát, és hol található az ellenőrzés eredménye.
Ez jóval értelmesebb beszélgetéshez vezet, mint a biztonsági relé márkájáról érdeklődni. Két mágneskapcsoló csak két tétel a beszerzési listán. Kategóriát a működésük, a diagnosztika és a terv igazolása alapján lehet hozzárendelni.
Források
A szállítószalaggal, mágneskapcsolókkal és szelepekkel kapcsolatos példák a követelmények magyarázatát szolgálják. A PFH-értékek és a hozzájuk tartozó PL-szintek az alábbiakban hivatkozott K.1 táblázatból származnak.
- ISO 13849-1:2023-09, 4.5, 5.1, 5.2.1 és 5.3–5.5: a kockázatértékelésből származó információk, SRS, PLr és az alrendszerekre bontás; 3.1.45–3.1.47 fogalommeghatározások, valamint 6.1.3.1–6.1.3.2.1: alrendszer, csatorna és architektúrák.
- ISO 13849-1:2023-09, 6.1.3.2.2–6.1.3.2.6: a B–4 kategória követelményei, hibareakció, tesztelés és hibafelhalmozódás; 3.1.49–3.1.50 fogalommeghatározások és 6.1.11: jól bevált biztonsági elvek és alkatrészek.
- ISO 13849-1:2023-09, 2., 6. és 7. táblázat, 6.1.4–6.1.5, 6.1.8, C–E melléklet, valamint K.1 táblázat az 1–2. megjegyzéssel: PL, PFH, MTTFD, DC, tartóssági adatok, kapcsolásszám és a számszerű modellek feltételezései.
- ISO 13849-1:2023-09, 6.1.6, F melléklet és F.1 táblázat: CCF, a közös kitettséget korlátozó intézkedések, pontozás és a 65 pontos küszöb; F.3.2: diverzitás; F.3.3 és F.3.6: védelmek, zavarok és környezeti feltételek.
- IEC 60947-4-1:2019-05, 8.2.5.1: a mágneskapcsolók és zárlatvédelmi eszközök együttműködése, valamint a 2-es típusú koordináció; 8.2.4.3.1–8.2.4.3.2 és B melléklet: mechanikai és villamos tartósság; F melléklet: a tükörérintkezők tulajdonságai és azonosítása.
- ISO 13849-1:2023-09, 6.1.10, 3.1.29–3.1.30 és 3.1.51–3.1.52 fogalommeghatározások, E melléklet és E.1 táblázat: hibaelemzés, felügyelet, tesztelés és hitelességi ellenőrzés; 7. fejezet és N melléklet: szoftver és előzetesen értékelt platformok; 13.2: integrálási információk.
- ISO 4413:2011, 5.4.4.1: tömörség és a szelepek biztonsági alkalmazásra való alkalmassága; 5.4.7.1–5.4.7.2.1: nem szándékos mozgás, energia leválasztása és nyomásmentesítés.
- ISO 13849-1:2023-09, 6.2.2 és 8. fejezet: alrendszerek kombinálása, a PFH összege és az elérhető PL korlátai; 5.2.2.2: leállítás; 10.1.1–10.1.2, 10.8 és 12. fejezet: validálás, jegyzőkönyvek és műszaki dokumentáció.