«Due contattori e un relè di sicurezza: quindi categoria 3». Nel quadro sembra tutto corretto. Anche nella distinta acquisti. Poi un contattore si salda e si scopre quanto di quell’ordine resta davvero operativo.
L’operatore apre il riparo del trasportatore. Il comando diseccita la bobina di K1, ma i contatti sono saldati. Il motore continua a ricevere alimentazione. Il comando era corretto: il contattore, semplicemente, non l’ha eseguito. Un secondo contattore può ancora interrompere il circuito. La diagnostica può rilevare il guasto e impedire un nuovo avviamento. Tutto dipende da come il progettista ha costruito il sistema.
Scrivere «categoria 3» nella documentazione è la parte meno faticosa. Le Categorie di sicurezza secondo ISO 13849-1 descrivono la resistenza ai guasti di un sottosistema e il suo comportamento dopo che questi si sono verificati. La differenza tra B, 1, 2, 3 e 4 si capisce meglio applicandole allo stesso compito: interrompere l’alimentazione dell’azionamento anche quando qualcosa smette di funzionare.
Durante il collaudo qualsiasi sistema integro può sembrare perfetto. Le categorie iniziano a contare quando il sistema non è più integro.
Prima il compito, poi i dispositivi nel quadro
L’operatore deve intervenire su un pezzo. Il nastro deve fermarsi prima che sia possibile raggiungere la zona pericolosa e deve restare fermo durante il lavoro con il riparo aperto.
Il progettista ricava questi requisiti dalla valutazione del rischio secondo ISO 12100 e li registra nella specifica dei requisiti di sicurezza — SRS. La funzione completa comprende il rilevamento dell’apertura del riparo, la decisione del comando e la disconnessione dell’azionamento. Ciascuna parte può essere trattata come un sottosistema.
Nei casi seguenti cambia il sottosistema di uscita: contattori, collegamenti e supervisione. Il suo compito, cioè la sottofunzione, è interrompere l’alimentazione dell’azionamento.
Un contattore funziona come un interruttore comandato elettricamente. La tensione sulla bobina chiude i contatti di potenza attraverso i quali passa la corrente del motore. Quando la bobina viene diseccitata, un dispositivo integro apre i contatti. La saldatura dei contatti elimina proprio questa capacità.
Con due contattori K1 e K2, la corrente del motore attraversa entrambi in serie. L’apertura di uno solo interrompe il circuito. Ciascun contattore, insieme al proprio comando, costituisce un percorso autonomo di interruzione: un canale.
Categoria B: K1 si è saldato. L’alimentazione rimane
L’azionamento viene disconnesso da un solo contattore K1. Quando il riparo si apre, il comando diseccita la bobina, i contatti si aprono e il motore perde alimentazione. Può funzionare così per migliaia di cicli.
Durante l’avviamento successivo, però, i contatti si saldano. Il trasportatore continua a funzionare e l’operatore non nota ancora nulla. Apre il riparo. La tensione della bobina scompare, ma la corrente continua a raggiungere il motore. Non esiste un secondo elemento capace di interromperla. Un solo guasto ha tolto al sottosistema la capacità di disconnettere l’azionamento.
Se invece si fosse interrotto il conduttore della bobina, un contattore integro sarebbe caduto. È un guasto diverso, con un effetto diverso. La frase «in caso di guasto il contattore cade» funziona benissimo finché chi la pronuncia si sceglie anche il guasto.
La categoria B richiede principi di sicurezza di base e componenti scelti per le condizioni reali. Il contattore deve sopportare carico, frequenza di manovra e temperatura nel quadro. La lettera B non autorizza a montare ciò che è rimasto sullo scaffale.
Quando la categoria B dà PL a e quando PL b?
Due circuiti apparentemente identici possono avere frequenze di guasto pericoloso molto diverse. Un contattore avvia il motore una volta per turno; un altro a ogni pezzo. Stesso modello, numero di manovre completamente diverso.
Il progettista considera la durata del dispositivo e il funzionamento reale della macchina. Determina l’MTTFD, cioè il tempo medio fino a un guasto pericoloso. Più alto è il valore, meno frequentemente tali guasti sono attesi in termini statistici. Per il canale vanno inclusi tutti gli elementi il cui guasto può impedirgli di interrompere l’alimentazione.
| MTTFD del canale | PFH — frequenza media di guasto pericoloso all’ora | PL raggiunto |
|---|---|---|
| 10 anni | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 anni | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 anni | 5,71 × 10⁻⁶ 1/h | PL b |
Con 10 anni il risultato è PL a; con 12 anni è già PL b. Il PFH scende sotto il limite di 10⁻⁵ 1/h. È cambiata l’affidabilità. Dopo la saldatura dei contatti, però, entrambi i circuiti si comporteranno nello stesso modo.
L’MTTFD è un parametro statistico. «20 anni» nel calcolo non significa garanzia ventennale né data automatica di sostituzione. Quella data va stabilita considerando condizioni e limiti d’impiego del componente.
I valori indicati riguardano il sottosistema di uscita. Nella funzione completa si aggiungono il PFH del sensore e quello della logica: PFH ingresso + PFH logica + PFH uscita. Il risultato viene confrontato con gli intervalli del PL ed è inoltre limitato dal PL più basso tra i sottosistemi. Un’uscita con PL b può quindi produrre, insieme al resto, una funzione con PL a.
La categoria B può raggiungere al massimo PL b. Se il livello richiesto PLr è d, serve un’altra soluzione. Ripetere con successo l’apertura del riparo durante il collaudo non sposta quel limite.
Nella categoria B tutto dipende da un solo canale. Quando K1 saldato non interrompe più l’azionamento, la protezione è persa.
Categoria 1: lo stesso problema deve verificarsi più raramente
L’azionamento è ancora disconnesso da un solo K1. Il progettista aumenta però i requisiti di affidabilità e di applicazione. Oltre ai principi della categoria B, utilizza componenti collaudati e principi di sicurezza collaudati.
L’MTTFD del canale deve essere alto: nel metodo semplificato, da 30 a 100 anni. «Collaudato» vale rispetto a condizioni operative precise. Un dispositivo che per anni ha commutato senza problemi dei riscaldatori viene ora collegato a un motore con elevata corrente di avviamento e manovre frequenti. Il marchio resta familiare. Il carico no.
La scelta deve basarsi su esperienze documentate in applicazioni simili oppure su caratteristiche dimostrate mediante progettazione, verifica e validazione secondo le norme pertinenti. ISO 13849-2 indica anche componenti e condizioni per considerarli collaudati.
Il progettista applica principi che riducono la probabilità dei guasti o le loro conseguenze pericolose. Poi K1 si salda comunque. La bobina viene diseccitata, i contatti restano chiusi e il motore continua a essere alimentato. La categoria 1 riduce la probabilità dell’evento; non crea un secondo canale.
Maggiore affidabilità: da PL b a PL c
Con MTTFD del canale pari a 30 anni, la tabella K.1 dà PL b. A 39 anni il PFH scende sotto 3 × 10⁻⁶ 1/h e il risultato passa a PL c.
| MTTFD del canale | PFH — frequenza media di guasto pericoloso all’ora | PL raggiunto |
|---|---|---|
| 30 anni | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 anni | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 anni | 1,14 × 10⁻⁶ 1/h | PL c |
Il limite della categoria 1 è PL c. Un dispositivo migliore ha un valore concreto: si guasta più raramente. Ma se il guasto è proprio la saldatura dei contatti, l’azionamento continua a non avere una seconda via di disconnessione.
La categoria 1 basa la protezione sulla maggiore affidabilità di un solo canale. Il guasto di quel canale può ancora eliminare la protezione.
Categoria 2: il sistema controlla se K1 ha eseguito il comando
L’operatore apre il riparo. Il comando diseccita K1 e attende la conferma dell’apertura dei contatti. Questa volta il comando deve essere verificato.
L’informazione arriva da un contatto a specchio del contattore. La sua costruzione impedisce che risulti chiuso quando un contatto di potenza resta saldato. Il sistema riceve quindi una risposta chiara: K1 ha aperto il circuito oppure non ha eseguito il comando.
K1 si è saldato. La conferma non torna. Il test rileva il guasto e avvia una reazione. In questa variante un contattore aggiuntivo KT, collegato in serie a K1, interrompe l’alimentazione. Il comando impedisce un nuovo avviamento fino alla rimozione del guasto.
Nella norma il dispositivo di prova è indicato con TE e la sua uscita con OTE. Qui OTE comanda KT. K1 appartiene al canale funzionale, che esegue la normale disconnessione. TE e OTE formano il canale di prova, che verifica l’esecuzione del compito e attiva la reazione al guasto.
Nel quadro ci sono due contattori, ma questo resta un esempio di categoria 2. KT deve intervenire dopo il rilevamento del problema di K1. Già qui contare i dispositivi perde contro leggere lo schema.
Ieri funzionava. All’avviamento di oggi si è già saldato
K1 supera correttamente il test. All’avviamento successivo i contatti si saldano. Fino alla prova seguente il canale funzionale non è operativo. Il precedente risultato non nascondeva nulla: nel frattempo la macchina si è semplicemente guastata.
Per questo la categoria 2 può perdere la sottofunzione tra due test. Il progettista deve stabilire quando eseguire la prova e quanto rapidamente reagire. Se il controllo inizia all’apertura del riparo, il rilevamento del guasto, la disconnessione tramite KT e l’arresto del movimento devono avvenire prima che una persona possa raggiungere il pericolo.
Con PLr d, OTE deve iniziare uno stato sicuro e mantenerlo fino alla rimozione del guasto. In questo circuito il compito è affidato a KT. Un messaggio rosso sullo schermo lascerebbe invece il motore alimentato. Informerebbe l’operatore, in modo molto leggibile, del motivo per cui la protezione non funziona.
Il punto 6.1.3.2.4 richiede una frequenza di prova almeno 100 volte superiore alla frequenza di richiesta della funzione, oppure una prova immediata alla richiesta, con rilevamento del guasto e raggiungimento di uno stato non pericoloso prima dell’accesso alla zona. Qui l’apertura del riparo è la richiesta della funzione. Il rapporto 100:1 non significa cento prove prima di ogni apertura.
L’MTTFD del canale di prova TE–OTE deve essere maggiore della metà dell’MTTFD del canale funzionale. Ogni parte del canale funzionale richiede almeno una bassa copertura diagnostica. Restano applicabili i principi della categoria B, i principi di sicurezza collaudati e le misure contro i guasti da causa comune tra i due canali.
Per PLr fino a c compreso, anche OTE deve avviare uno stato sicuro quando ciò è praticabile. Se non lo è, la norma ammette che possa bastare un avvertimento. Con PLr d è obbligatoria una reazione che garantisca lo stato sicuro.
Il test può portare a PL d. Conta anche l’affidabilità
La DC, cioè la copertura diagnostica, esprime l’efficacia nel rilevare i guasti pericolosi. Per l’intero sottosistema si determina la copertura diagnostica media DCavg, considerando le frequenze di tali guasti nelle singole parti.
Con lo stesso DCavg = 90%, la categoria 2 dà nella tabella K.1 PL a con MTTFD del canale pari a 3 anni, PL b a 10 anni, PL c a 30 anni e PL d a 100 anni. Il test è presente in ogni variante. Cambia la frequenza dei guasti che deve gestire.
| MTTFD del canale funzionale | PFH — frequenza media di guasto pericoloso all’ora | PL raggiunto |
|---|---|---|
| 3 anni | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 anni | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 anni | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 anni | 2,29 × 10⁻⁷ 1/h | PL d |
Nella categoria 2 la protezione dipende dalla capacità del test di rilevare il guasto e dalla rapidità della reazione. Il tempo di prova fa parte del progetto.
Categoria 3: K2 interrompe senza attendere il risultato del test
K1 e K2 sono collegati in serie nell’alimentazione del motore. L’operatore apre il riparo e il comando ordina la diseccitazione di entrambi. Ogni contattore ha un proprio percorso di comando e può interrompere da solo l’alimentazione dell’azionamento.
K1 resta chiuso perché i contatti sono saldati. K2 si apre e interrompe la corrente. Il secondo canale esegue il compito di protezione nonostante il guasto del primo.
È la differenza decisiva rispetto alla variante precedente. Là KT interveniva dopo che il test aveva rilevato il guasto di K1. Qui K2 riceve il comando di apertura perché il riparo è stato aperto. Non deve attendere la diagnosi di K1.
Il trasportatore si è fermato. La riparazione serve ancora
L’operatore vede il solito effetto: il nastro si ferma. Nel quadro, però, un contattore non funziona più. La diagnostica rileva la mancata conferma dell’apertura di K1 e impedisce il riavvio.
K2 ha eseguito il compito al posto del canale guasto. Non lo ha riparato. Se il comando consentisse di continuare a lavorare con il guasto rilevato, l’interruzione successiva dipenderebbe solo da K2.
La categoria 3 richiede che la sottofunzione sia mantenuta dopo un singolo guasto. Il requisito riguarda componenti e collegamenti dell’intero sottosistema valutato. Se un unico guasto nel comando può mantenere alimentate entrambe le bobine, i due contattori possono eseguire alla perfezione lo stesso comando sbagliato.
È richiesta almeno una bassa copertura diagnostica. Il singolo guasto deve essere rilevato durante la richiesta della funzione o prima della richiesta successiva, quando ciò è ragionevolmente praticabile. Alcuni guasti possono però restare non rilevati. Il loro successivo accumulo può eliminare la protezione: è qui che comincia la differenza rispetto alla categoria 4.
La categoria 3 può raggiungere PL c, d oppure e
Con DCavg = 90% e MTTFD di ciascun canale pari a 10 anni, la tabella K.1 dà PL c. A 30 anni dà PL d; a 100 anni PL e. «Categoria 3, quindi PL d» è una scorciatoia comoda che perde per strada altre due possibilità.
| MTTFD di ciascun canale | PFH — frequenza media di guasto pericoloso all’ora | PL raggiunto |
|---|---|---|
| 10 anni | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 anni | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 anni | 4,29 × 10⁻⁸ 1/h | PL e |
L’MTTFD riguarda ciascun canale separatamente. Due canali da 30 anni non diventano un canale con MTTFD di 60 anni. Si applicano inoltre i requisiti della categoria B, i principi di sicurezza collaudati e le misure contro i guasti da causa comune.
K2 interrompe l’azionamento nonostante il guasto di K1. La diagnostica decide se il sistema potrà essere autorizzato a eseguire un altro ciclo.
Categoria 4: conta anche il guasto sfuggito alla diagnostica
Dopo la saldatura di K1, K2 interrompe l’azionamento e il comando impedisce un nuovo avviamento. È lo stesso comportamento osservato nella variante precedente.
La differenza tra categoria 3 e 4 emerge con un’analisi più ampia: che cosa rileva il sistema, quando lo rileva e che cosa succede ai guasti che non sono stati rilevati?
Nella categoria 4 un singolo guasto deve lasciare operativa la funzione ed essere rilevato durante la sua richiesta o prima della richiesta successiva. Se il rilevamento entro quel momento non è possibile, anche l’accumulo dei guasti deve lasciare efficace la protezione.
Il sistema controlla anche se la conferma dice la verità
Ogni contattore dispone di un contatto a specchio sorvegliato separatamente. Il comando ne controlla la risposta durante l’intero ciclo:
- Prima dell’avviamento entrambi i contattori sono diseccitati. I contatti a specchio devono confermare che i percorsi di potenza sono aperti.
- Dopo l’eccitazione del contattore, la conferma di apertura deve scomparire entro il tempo stabilito.
- Dopo la diseccitazione, la conferma deve tornare.
- Con K1 saldato, l’ultima conferma non torna. K2 disconnette l’azionamento e la logica impedisce il riavvio.
Per la categoria 4 è richiesto DCavg almeno pari al 99%. Perché verificare anche la scomparsa della conferma? I due conduttori del contatto a specchio potrebbero andare in cortocircuito. Il segnale direbbe allora sempre «K1 aperto», anche mentre il contattore viene eccitato.
Un sistema che controllasse soltanto la presenza del segnale prima dell’avviamento accetterebbe una conferma falsa. Il controllo della transizione rileva invece l’incoerenza: K1 ha ricevuto il comando di chiusura, ma l’informazione «aperto» è rimasta. Il comando disattiva le uscite e blocca il funzionamento.
L’operatore può premere il ripristino quanto vuole. Il ripristino non separa né due fili in cortocircuito né due contatti saldati.
Una diagnostica di questo tipo può essere usata anche nella categoria 3. A determinare la categoria 4 è il comportamento dell’intero sottosistema rispetto ai guasti considerati e al loro accumulo. L’analisi comprende circuiti di comando, segnali di ritorno e conseguenze dei loro guasti.
Due valvole mostrano perché è importante
V1 e V2 sono valvole a otturatore montate in serie sull’alimentazione dell’olio verso un cilindro. Ciascuna può interrompere da sola il flusso. Sensori dedicati controllano la posizione degli elementi di chiusura.
La tenuta della sede di V1 si danneggia. L’elemento mobile raggiunge la posizione «chiusa», ma l’olio passa attraverso la tenuta difettosa. Il sensore di posizione continua a dire la verità. V2, ancora integra, arresta il flusso e sulla macchina non succede nulla.
In seguito, per una causa indipendente, anche V2 inizia a perdere. Il flusso attraverso le due valvole diventa sufficiente a provocare un movimento pericoloso del cilindro. Sullo schermo restano due conferme «chiusa»: perfettamente concordi e completamente inutili per individuare il problema.
È un accumulo di guasti non rilevati che, in categoria 3, può eliminare la protezione. Per la categoria 4 questa sequenza deve essere interrotta: occorre rilevare per tempo la perdita significativa oppure mantenere la funzione anche con l’accumulo di guasti considerato.
Una prova di tenuta eseguita separatamente su ciascuna valvola verifica ciò che il sensore di posizione non può verificare. Per esempio, una perdita può aumentare la pressione in un volume di prova a valle della valvola, isolato dal cilindro. Un sensore di pressione rileva l’aumento e il sistema blocca il funzionamento.
Provando contemporaneamente entrambe le valvole chiuse, V2 integra potrebbe nascondere la perdita di V1. Soglia e durata della prova devono rilevare una perdita rilevante per la sicurezza prima che si crei un pericolo. Il progetto deve inoltre considerare la pressione residua a valle: interrompere il nuovo afflusso non elimina l’energia già accumulata.
Il 99% deve derivare dal funzionamento della diagnostica
La categoria 4 richiede DCavg alto, almeno 99%, e MTTFD alto per ciascun canale. Quel 99% riguarda la frequenza dei guasti pericolosi rilevati. Individuare nove tipi di guasto rari e ignorarne uno frequente può dare un risultato scadente. L’elenco delle caselle spuntate avrà un aspetto migliore della protezione.
Con DCavg = 99%, la tabella K.1 assegna alla categoria 4 PL e sia con MTTFD del canale pari a 30 anni sia con 100 anni. I PFH sono diversi, ma ricadono nello stesso livello.
| MTTFD di ciascun canale | PFH — frequenza media di guasto pericoloso all’ora | PL raggiunto |
|---|---|---|
| 30 anni | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 anni | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 anni | 9,06 × 10⁻¹⁰ 1/h | PL e |
Per la categoria 4 il modello ammette un MTTFD del canale fino a 2 500 anni. Resta un parametro statistico. Continuano a valere i principi della categoria B, i principi di sicurezza collaudati e le misure contro i guasti da causa comune.
Il punto 6.1.3.2.6 indica che, nella pratica, può essere sufficiente considerare combinazioni di due guasti. L’esclusione di guasti non rilevati con probabilità molto bassa richiede però un’analisi documentata e verificata, per esempio una FMEA, cioè un’analisi dei modi e degli effetti di guasto.
La diagnostica deve verificare la capacità di svolgere il compito. Una valvola può confermare correttamente la posizione e continuare a lasciar passare olio.
Cinque categorie, un solo K1 saldato
Nelle categorie B e 1 la saldatura di K1 lascia il motore alimentato. Nella categoria 2 la disconnessione viene eseguita da KT dopo che TE ha rilevato il guasto. Nelle categorie 3 e 4 interviene K2, che riceve il comando insieme all’apertura del riparo. La diagnostica rileva il problema e impedisce il ciclo successivo.
Stesso guasto, stessa apertura del riparo, reazioni differenti. La differenza tra categoria 3 e 4 emerge soltanto analizzando più a fondo la diagnostica e l’accumulo dei guasti non rilevati. Per questo la valutazione non finisce alla prima reazione protettiva riuscita.
Due contattori possono perdere contro lo stesso cortocircuito
Finora K1 si guastava e K2 salvava la disconnessione. Ma si verifica un cortocircuito a valle di K2. La corrente di cortocircuito attraversa entrambi i contattori chiusi e li danneggia. Il secondo canale ha appena incontrato la stessa causa del primo.
È un CCF, un guasto da causa comune. Nelle categorie 3 e 4 riguarda i due canali funzionali; nella categoria 2 riguarda il canale funzionale e quello di prova. Il progettista deve ridurre le esposizioni comuni con misure concrete.
K2 si chiude per primo e si apre per ultimo
Prima si chiude K2. K1 è ancora aperto, quindi la corrente del motore non circola. Poi K1 chiude il circuito e inserisce il carico. Durante l’arresto l’ordine si inverte: K1 interrompe la corrente e K2 si apre poco dopo, quando la corrente di carico non passa più.
Durante il funzionamento entrambi conducono la stessa corrente, ma le condizioni di commutazione sono diverse. K2 evita normalmente sia l’inserzione della corrente di avviamento sia l’interruzione del carico, riducendo l’usura elettrica dei contatti. Il meccanismo continua però a compiere ogni movimento: l’usura meccanica rimane.
K2 deve essere dimensionato anche per interrompere autonomamente il carico completo, perché è esattamente ciò che dovrà fare dopo la saldatura di K1. La sua apertura deve avvenire nel tempo stabilito, senza aspettare la conferma di K1: con i contatti saldati quella conferma non arriverà.
Il ritardo e i tempi dei dispositivi devono rientrare nel tempo di risposta richiesto per la funzione.
La protezione contro il cortocircuito deve limitarne gli effetti comuni
La sequenza di commutazione differenzia le sollecitazioni durante inserzione e disinserzione. In caso di cortocircuito, quando entrambi i contattori sono chiusi, la corrente sollecita entrambi. Il dispositivo di protezione F deve interromperla; gli effetti dipendono dal valore della corrente e dalla sua durata.
Il progettista determina la corrente di cortocircuito presunta nel punto d’installazione e verifica l’insieme: contattore specifico, tipo e corrente nominale della protezione, tensione e condizioni d’impiego. I dati del costruttore permettono di valutarne il coordinamento. La sola corrente nominale del motore dice troppo poco.
I contatti saldati durante il cortocircuito possono restare chiusi anche dopo l’intervento di F. Il fusibile interrompe la corrente; la riparazione dei contattori non è compresa. Prima di rimettere in servizio la macchina bisogna verificare entrambi i dispositivi ed eliminare i danni.
IEC 60947-4-1:2019-05, punto 8.2.5.1, ammette la possibilità di saldatura dei contatti anche con coordinamento di tipo 2. Il costruttore specifica gli interventi di manutenzione necessari. Usare una protezione diversa da quella raccomandata può rendere non valido il coordinamento.
Percorso comune, alimentatore comune, surriscaldamento comune
I conduttori delle due bobine corrono nello stesso fascio. Uno schiacciamento li porta entrambi a +24 V. Percorsi separati e protetti, con morsetti distinti, riducono la possibilità che un solo danno coinvolga entrambi i canali.
Un alimentatore comune, dopo un guasto, eroga una tensione eccessiva. Il progettista deve valutarne il comportamento in avaria e predisporre un’adeguata limitazione della tensione o una protezione esterna per i circuiti alimentati.
Entrambi i contattori sono montati sopra un inverter. Dopo il guasto della ventilazione, la temperatura supera il limite ammesso. Disposizione, distanze e raffreddamento devono essere scelti anche per questa condizione. Un quadro aperto durante il collaudo ha quasi sempre una ventilazione eccellente.
I due canali corrono accanto ai cavi motore dell’inverter. Separazione dei percorsi, schermature e collegamenti equipotenziali aiutano a limitare l’influenza comune dei disturbi elettromagnetici. L’immunità deve essere adeguata all’ambiente effettivo.
L’allegato F organizza la valutazione con un sistema a punti. Il metodo richiede almeno 65 punti per le misure applicate. Per esempio: separazione dei canali 15, protezione contro sovracorrenti e sovratensioni pertinenti 15, misure contro i disturbi elettromagnetici 25, altri fattori ambientali 10.
Il risultato può essere giustificato anche con contattori identici. La diversità di costruzione, tecnologia, carico o costruttore vale fino a 20 punti in una singola voce. Due marchi diversi applicati allo stesso prodotto restano lo stesso prodotto. Ogni misura deve essere implementata completamente nel sottosistema valutato; un’applicazione parziale vale zero.
Il secondo canale aiuta solo se una causa comune non toglie a entrambi i canali la capacità di funzionare.
Dove sono i due canali nel sensore, nel relè e nel PLC?
K1 e K2 si indicano facilmente con un dito. Nell’elettronica, invece, i canali possono trovarsi nella stessa custodia. La norma descrive la struttura logica; le soluzioni interne di un dispositivo specifico sono definite dal costruttore.
Due sensori sullo stesso riparo
I sensori induttivi S1 e S2 rilevano un elemento metallico del riparo chiuso. Ciascuno invia il proprio segnale a un ingresso separato del comando. Per consentire il funzionamento servono due conferme «chiuso».
S1 si guasta e indica permanentemente «chiuso». L’operatore apre il riparo e il metallo si allontana da entrambi i sensori. S2, ancora integro, cambia stato e il comando ordina l’arresto. La perdita di una sola conferma è sufficiente ad attivare la reazione.
Un sensore di sicurezza, due uscite OSSD
Un sensore induttivo di sicurezza può integrare la diagnostica e due uscite elettroniche sorvegliate OSSD, cioè dispositivi di commutazione del segnale di uscita. Quando il metallo si allontana, entrambe le uscite si disattivano e trasmettono al comando la richiesta di arresto. La diagnostica ne controlla anche la capacità di disattivazione.
Un sensore ordinario può avere due uscite che funzionano diversamente: una sola elettronica rileva il metallo e lo stesso risultato pilota entrambe. L’uscita NO, normalmente aperta, si attiva quando rileva il metallo; l’uscita NC, normalmente chiusa, si disattiva.
Se l’elettronica rileva erroneamente il metallo con il riparo aperto, entrambe le uscite si comportano esattamente come con il riparo chiuso. Verificare che abbiano stati opposti non rivela l’errore. Il comando ha ricevuto due versioni dello stesso sbaglio. Lo stesso accade sdoppiando un unico segnale su due ingressi.
Relè di sicurezza e controllore
In un relè di sicurezza classico operano due relè interni R1 e R2. I loro contatti di abilitazione sono collegati in serie. Se un contatto di R1 si salda, R2 può ancora aprire l’uscita. Contatti di controllo meccanicamente vincolati consentono di rilevare la saldatura e impedire il nuovo avviamento.
Un PLC in esecuzione legata alla sicurezza può usare due processori e confrontarne i risultati. Uno calcola erroneamente l’autorizzazione al movimento, l’altro l’arresto. La discordanza attiva la reazione protettiva. I test possono comprendere memoria, esecuzione del programma, ingressi e uscite.
Due copie del programma in un PLC ordinario possono invece essere eseguite dallo stesso processore. Un suo guasto colpirà entrambe le copie. Copiare il codice è più facile che costruire la resistenza ai guasti, ma il risultato non è lo stesso.
Barriera immateriale di sicurezza
L’operatore interrompe i fasci tra emettitore e ricevitore. La barriera disattiva OSSD1 e OSSD2. Se OSSD1 guasto resta attivo, la disattivazione di OSSD2 deve ancora consentire al comando associato di ordinare l’arresto.
Ogni uscita raggiunge l’ingresso previsto. La diagnostica comprende le uscite e i relativi collegamenti. Nella documentazione del dispositivo il progettista verifica PL raggiunto, categoria, tempo di risposta e collegamento richiesto. Solo così può usare correttamente le caratteristiche del sottosistema pronto all’interno della funzione specifica.
Stesso PL, comportamento diverso dopo il guasto
Un progettista raggiunge PL d con la categoria 2, un altro con la categoria 3. Entrambi possono avere risultati corretti. Il primo ha usato un canale più affidabile sottoposto a prova; il secondo due canali funzionali.
| Categoria | MTTFD del canale | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 anni | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 anni | 90% | 2,65 × 10⁻⁷ | d |
Nella categoria 2 l’MTTFD indicato riguarda il canale funzionale. Nella categoria 3 riguarda ciascuno dei due canali. Entrambi i PFH ricadono nell’intervallo di PL d, ma la categoria 2 può perdere la sottofunzione tra le prove, mentre la categoria 3 la mantiene dopo un singolo guasto.
Se la SRS o una norma di tipo C per quella macchina richiede il mantenimento della funzione dopo un singolo guasto, il progettista deve garantire proprio quel comportamento. La sola lettera d non decide la scelta.
Stessa categoria, diagnostica migliore
Nella categoria 3, con MTTFD di ciascun canale pari a 100 anni, il passaggio di DCavg dal 60% al 90% sposta il risultato da PL d a PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
La copertura diagnostica superiore deve derivare da un rilevamento più efficace dei guasti e da una reazione appropriata. Controllare le transizioni del segnale di ritorno può rilevare un cortocircuito che conferma permanentemente l’apertura del contattore. Soluzioni del genere modificano il comportamento reale. Cambiare un campo dal 60 al 90% nel programma di calcolo, per il momento, modifica soltanto la stampa.
I valori derivano dai modelli di sottosistema di ISO 13849-1:2023-09. Il metodo del punto 6.1.8 assume 20 anni di utilizzo previsto, intensità di guasto costanti e misure adeguate contro i CCF. Per gli elementi che si usurano prima occorre rispettare i limiti d’impiego.
Per la categoria 2 valgono inoltre i requisiti relativi al canale di prova e alla frequenza delle prove o al tempo di reazione alla richiesta. Per prove periodiche, i PFH mostrati corrispondono a un rapporto tra frequenza di prova e frequenza di richiesta almeno pari a 100:1. La nota 1 alla tabella K.1 fornisce una stima per un rapporto di almeno 25:1 moltiplicando il PFH tabellare per 1,1.
I valori tabellari per DCavg basso, medio e alto sono calcolati rispettivamente con 60%, 90% e 99%.
Il PL esprime il livello di prestazione. La categoria spiega come il sistema affronta i guasti. Per scegliere una soluzione servono entrambe le informazioni.
I contattori sono pronti ad aprire. Ma il comando non è arrivato
Il sottosistema K1–K2 raggiunge PL e. Il sensore del riparo comunica però alla logica, in modo errato, che la porta è chiusa. Il comando autorizza il movimento e i due contattori restano eccitati. Possono essere integri e sorvegliati alla perfezione: il problema è nato prima, all’ingresso della funzione.
Per questo si valuta l’intera catena: ingresso → logica → uscita, collegamenti compresi. Per una combinazione in serie di sottosistemi con PFH noti, i valori si sommano. Il PL complessivo è limitato sia dal risultato della somma sia dal PL più basso tra i sottosistemi.
Tre sottosistemi da 4 × 10⁻⁸ 1/h danno complessivamente 1,2 × 10⁻⁷ 1/h, quindi PL d. Presi singolarmente rientravano tutti in PL e. Il conto è semplice: la funzione completa contiene più punti nei quali può verificarsi un guasto pericoloso.
I dettagli sono trattati nell’articolo sul calcolo del PL secondo ISO 13849-1.
Dopo la disconnessione, il nastro ha ancora bisogno di tempo per fermarsi. La protezione deve intervenire prima che una persona raggiunga il pericolo. Questo rapporto emerge chiaramente nel caso della distanza della barriera immateriale dopo la modifica del tempo di risposta.
Quando si combinano sottosistemi valutati con metodi diversi, è utile anche il confronto tra ISO 13849-1 e IEC 62061.
Dopo qualche anno qualcuno sostituirà K1
Il nuovo contattore ha la stessa corrente nominale e si monta sulla stessa guida. Al manutentore servono però anche il corretto contatto a specchio, tempi di funzionamento adeguati e dati di durata. Queste caratteristiche facevano parte del progetto.
La descrizione «24 V, stessi ampere» trascura proprio ciò che serve alla diagnostica. La documentazione deve permettere di ricostruire perché è stato scelto il componente, che cosa controlla il sistema e come reagisce al guasto. Senza documentazione resta una telefonata all’autore del programma e la speranza che ricordi il motivo di ogni condizione. La giustificazione del progetto finisce così per dipendere dalla memoria di una sola persona.
| Campo | Registrazione |
|---|---|
| Ambito | Sottosistema di uscita K1–K2 con collegamenti e supervisione; compito: interrompere l’alimentazione dell’azionamento. |
| Guasto considerato | K1 resta chiuso nonostante il comando di apertura. |
| Reazione richiesta | K2 disconnette autonomamente l’azionamento. Il mancato ritorno del segnale di K1 rivela il guasto e impedisce il riavvio. |
| Prova da ottenere | Analisi dei guasti e prova T-01: verifica della disconnessione tramite K2, del tempo di risposta, del rilevamento e del blocco. Il risultato deve essere registrato per la versione specifica del sistema. |
La scheda completa collega questa registrazione alla SRS, alla versione dello schema, alle basi di MTTFD, DCavg e CCF e ai risultati della validazione. Giustifica inoltre le esclusioni dei guasti applicate.
Scarica la scheda di giustificazione della categoria (PDF, in inglese): esempio K1–K2 e modulo compilabile per il proprio progetto nello stesso file.
Un responsabile non deve calcolare personalmente il PFH. Può chiedere al fornitore di mostrare un singolo guasto sullo schema: che cosa si rompe, che cosa continua a proteggere la persona, quando il comando si accorge del problema e dove si trova il risultato della verifica.
È una discussione molto più utile di una domanda sulla marca del relè. Due contattori sono una voce nella distinta acquisti. Solo il loro funzionamento, la diagnostica e la giustificazione del progetto permettono di assegnare una categoria.
Fonti
Gli esempi del trasportatore, dei contattori e delle valvole servono a spiegare i requisiti. I valori PFH e i PL corrispondenti derivano dalla tabella K.1 indicata di seguito.
- ISO 13849-1:2023-09, punti 4.5, 5.1, 5.2.1 e 5.3–5.5: informazioni provenienti dalla valutazione del rischio, SRS, PLr e suddivisione in sottosistemi; definizioni 3.1.45–3.1.47 e punti 6.1.3.1–6.1.3.2.1: sottosistema, canale e architetture.
- ISO 13849-1:2023-09, punti 6.1.3.2.2–6.1.3.2.6: requisiti delle categorie B–4, reazione ai guasti, prove e accumulo dei guasti; definizioni 3.1.49–3.1.50 e punto 6.1.11: principi di sicurezza collaudati e componenti collaudati.
- ISO 13849-1:2023-09, tabelle 2, 6 e 7, punti 6.1.4–6.1.5 e 6.1.8, allegati C–E e tabella K.1 con note 1–2: PL, PFH, MTTFD, DC, dati di durata, numero di manovre e ipotesi dei modelli numerici.
- ISO 13849-1:2023-09, punto 6.1.6, allegato F e tabella F.1: CCF, misure per ridurre le esposizioni comuni, valutazione a punti e soglia di 65 punti; F.3.2: diversità; F.3.3 e F.3.6: protezioni, disturbi e ambiente operativo.
- IEC 60947-4-1:2019-05, punto 8.2.5.1: coordinamento tra contattori e protezioni contro il cortocircuito e coordinamento di tipo 2; punti 8.2.4.3.1–8.2.4.3.2 e allegato B: durata meccanica ed elettrica; allegato F: proprietà e identificazione dei contatti a specchio.
- ISO 13849-1:2023-09, punto 6.1.10, definizioni 3.1.29–3.1.30 e 3.1.51–3.1.52, allegato E e tabella E.1: analisi dei guasti, monitoraggio, prove e verifica della plausibilità; capitolo 7 e allegato N: software e piattaforme già valutate; punto 13.2: informazioni per l’integrazione.
- ISO 4413:2011, punto 5.4.4.1: tenuta e idoneità delle valvole per applicazioni legate alla sicurezza; punti 5.4.7.1–5.4.7.2.1: movimento involontario, isolamento dell’energia e dissipazione della pressione.
- ISO 13849-1:2023-09, punto 6.2.2 e capitolo 8: combinazione dei sottosistemi, somma dei PFH e limiti del PL raggiunto; punto 5.2.2.2: arresto; punti 10.1.1–10.1.2 e 10.8 e capitolo 12: validazione, registrazioni e documentazione tecnica.