"Twee contactoren en een veiligheidsrelais, dus categorie 3." In de schakelkast klopt het. Op de bestellijst ook. Tot K1 vastlast. Dan blijkt hoeveel van die keurige opbouw werkelijk overeind blijft.
De operator opent de afscherming van een transportband. De besturing schakelt de spoel van K1 uit, maar de contacten zijn vastgelast. De motor blijft onder spanning. Het commando was correct. De contactor voerde het alleen niet uit. Een tweede contactor kan de aandrijving alsnog afschakelen. Diagnostiek kan de fout zichtbaar maken en een volgende start blokkeren. Alles hangt af van de gekozen architectuur. Alleen "categorie 3" in de documentatie zetten is het makkelijkste deel.
Veiligheidscategorieën volgens ISO 13849-1 beschrijven hoe foutbestendig een subsysteem is en wat het na een defect doet. Het verschil tussen B, 1, 2, 3 en 4 wordt het duidelijkst bij steeds dezelfde opdracht: de voeding van een aandrijving onderbreken, óók als ergens in de keten iets faalt. Tijdens de afname ziet vrijwel iedere foutloze schakeling er goed uit. De categorie begint pas te spreken wanneer de schakeling niet meer foutloos is.
Eerst de opdracht, daarna de componenten in de kast
De operator moet een product corrigeren. De band moet vóór toegang tot de gevaarlijke zone stoppen en tijdens werkzaamheden met geopende afscherming stilstaan. De ontwerper leidt deze eisen af uit de risicobeoordeling volgens ISO 12100 en legt ze vervolgens vast in de specificatie van veiligheidseisen — SRS.
De volledige veiligheidsfunctie omvat het detecteren van de geopende afscherming, de beslissing van de besturing en het afschakelen van de aandrijving. Elk deel kan als afzonderlijk subsysteem worden beschouwd. In de volgende varianten verandert vooral het uitgangssubsysteem: de contactoren, hun verbindingen en hun bewaking. De subfunctie daarvan is het onderbreken van de voeding naar de aandrijving.
Een contactor is een elektrisch bediende schakelaar. Spanning op de spoel sluit de vermogenscontacten, waarna stroom naar de motor loopt. Wordt de spoel uitgeschakeld, dan opent een goed werkende contactor die contacten. Vastlassen neemt precies die mogelijkheid weg.
Bij twee contactoren K1 en K2 loopt de motorstroom achtereenvolgens door beide apparaten. Zodra één van beide opent, wordt de stroomkring onderbroken. Iedere contactor vormt samen met zijn aansturing een afzonderlijke afschakelroute: een kanaal.
Categorie B: K1 is vastgelast en de voeding blijft aanwezig
In deze variant schakelt één contactor K1 de aandrijving af. Na het openen van de afscherming valt de spoelspanning weg, openen de contacten en verliest de motor zijn voeding. Dat kan duizenden cycli probleemloos doorgaan.
Bij de volgende inschakeling lassen de contacten vast. De transportband draait nog, dus de operator merkt niets. Hij opent de afscherming. De spoelspanning verdwijnt, maar de motorstroom blijft lopen. Er is geen tweede element dat de stroom kan onderbreken. Eén defect ontneemt het subsysteem zijn vermogen om de aandrijving af te schakelen.
Was in plaats daarvan de spoeldraad onderbroken, dan zou een verder intacte contactor juist afvallen. Dat is een ander defect met een ander gevolg. De uitspraak "bij een storing valt de contactor vanzelf af" werkt uitstekend zolang de spreker zijn favoriete storing zelf mag kiezen.
Categorie B verlangt toepassing van fundamentele veiligheidsprincipes en componenten die geschikt zijn voor de werkelijke omstandigheden. De contactor moet bestand zijn tegen de belasting, het aantal schakelingen en de temperatuur in de kast. De letter B is geen toestemming om te monteren wat toevallig nog op de plank ligt.
Wanneer levert categorie B PL a op en wanneer PL b?
Twee identieke schakelingen kunnen een heel andere frequentie van gevaarlijke uitval hebben. De ene contactor schakelt een motor eenmaal per ploeg. De andere doet dat bij ieder product. Hetzelfde typeplaatje, een totaal ander aantal schakelingen.
De ontwerper houdt rekening met de levensduur van het apparaat en het werkelijke gebruik van de machine. Daaruit volgt MTTFD: de gemiddelde tijd tot een gevaarlijke storing. Hoe groter de waarde, hoe lager de statistische frequentie van zulke storingen. Voor het kanaal tellen alle onderdelen mee waarvan een defect de afschakelmogelijkheid kan wegnemen.
| MTTFD van het kanaal | PFH — gemiddelde frequentie van een gevaarlijke storing per uur | Bereikte PL |
|---|---|---|
| 10 jaar | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 jaar | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 jaar | 5,71 × 10⁻⁶ 1/h | PL b |
Bij 10 jaar is het resultaat PL a. Bij 12 jaar is het al PL b, omdat PFH onder 10⁻⁵ 1/h zakt. De betrouwbaarheid verandert. Na het vastlassen gedragen beide schakelingen zich echter hetzelfde.
MTTFD is een statistische parameter. Een rekenwaarde van 20 jaar is geen twintigjarige garantie en ook geen automatische vervangingsdatum. Die termijn moet worden vastgesteld aan de hand van de gebruiksvoorwaarden en beperkingen van het apparaat.
De waarden hierboven gelden alleen voor het uitgangssubsysteem. Voor de hele veiligheidsfunctie komen daar PFH van ingang en logica bij: PFH ingang + PFH logica + PFH uitgang. De som wordt vergeleken met de PL-grenzen, terwijl de laagste PL van één van de subsystemen de totale PL eveneens begrenst. Een uitgang met PL b kan in de complete keten dus eindigen in PL a.
Categorie B kan maximaal PL b bereiken. Is PLr d vereist, dan is een andere oplossing nodig. Nog een geslaagde test tijdens de afname verandert daar niets aan. Alles rust op één kanaal; zodra K1 vastlast, is de bescherming weg.
Categorie 1: hetzelfde probleem moet minder vaak optreden
Ook hier schakelt één K1 de aandrijving af. Het verschil zit in de hogere eisen aan de betrouwbaarheid en toepassing. Naast de eisen van categorie B gebruikt de ontwerper beproefde componenten en beproefde veiligheidsprincipes. In de vereenvoudigde methode moet de MTTFD van het kanaal hoog zijn: 30 tot 100 jaar.
"Beproefd" geldt altijd voor concrete bedrijfsomstandigheden. Een contactor die jarenlang probleemloos verwarmingselementen schakelde, krijgt nu een motor met hoge aanloopstroom en veel starts. Het vertrouwde merklogo blijft hetzelfde. De belasting niet.
De keuze moet steunen op gedocumenteerde ervaring met vergelijkbare toepassingen of op eigenschappen die door ontwerp, verificatie en validatie volgens toepasselijke normen zijn aangetoond. ISO 13849-2 beschrijft eveneens componenten en voorwaarden waaronder die als beproefd kunnen gelden. De ontwerper past principes toe die het ontstaan van defecten of hun gevaarlijke gevolgen beperken.
En dan last K1 toch vast. De spoel wordt uitgeschakeld, de contacten blijven dicht en de motor houdt voeding. Categorie 1 verkleint de waarschijnlijkheid van dat scenario. Er ontstaat geen tweede kanaal door.
Hogere betrouwbaarheid: van PL b tot PL c
Bij een MTTFD van 30 jaar geeft tabel K.1 PL b. Bij 39 jaar daalt PFH onder 3 × 10⁻⁶ 1/h en wordt PL c bereikt.
| MTTFD van het kanaal | PFH — gemiddelde frequentie van een gevaarlijke storing per uur | Bereikte PL |
|---|---|---|
| 30 jaar | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 jaar | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 jaar | 1,14 × 10⁻⁶ 1/h | PL c |
De bovengrens van categorie 1 is PL c. Een beter component faalt minder vaak. Maar als het door vastlassen faalt, ontbreekt nog steeds een tweede afschakelroute. De bescherming steunt op de hogere betrouwbaarheid van één kanaal; een defect in dat kanaal kan haar volledig wegnemen.
Categorie 2: de schakeling controleert of K1 het commando uitvoerde
De operator opent de afscherming. De besturing schakelt K1 uit en wacht op bevestiging dat de contacten werkelijk zijn geopend. Ditmaal wordt de uitvoering van het commando gecontroleerd.
Die terugmelding komt van een spiegelcontact van de contactor. De constructie voorkomt dat dit contact sluit wanneer een vermogenscontact vastgelast blijft. De schakeling krijgt daardoor bruikbare informatie: K1 heeft de stroomkring geopend of K1 heeft het uitschakelcommando niet uitgevoerd.
K1 is vastgelast. De bevestiging keert niet terug. De test detecteert het defect en activeert een reactie. In deze variant onderbreekt een extra contactor KT, in serie met K1, de voeding. De besturing blokkeert een volgende inschakeling totdat de storing is verholpen.
In de norm heet het testapparaat TE en zijn uitgang OTE. Hier stuurt OTE contactor KT aan. K1 behoort tot het functionele kanaal dat de normale afschakeling uitvoert. TE en OTE vormen het testkanaal dat de uitvoering controleert en bij een defect een reactie start.
Er zitten twee contactoren in de kast en toch is dit een voorbeeld van categorie 2. KT schakelt pas af nadat het probleem met K1 is vastgesteld. Apparaten tellen verliest hier definitief van het schema lezen.
Gisteren goed, bij de inschakeling van vandaag al vastgelast
K1 doorstaat de test correct. Bij de volgende inschakeling lassen de contacten vast. Tot de volgende controle is het functionele kanaal defect. De vorige test heeft niets verborgen; de machine is simpelweg ná die test defect geraakt.
Daarom kan categorie 2 de subfunctie tussen twee tests verliezen. De ontwerper moet bepalen wanneer de test plaatsvindt en hoe snel de schakeling reageert. Begint de controle bij het openen van de afscherming, dan moeten detectie van het defect, uitschakeling van KT en stilstand van de beweging plaatsvinden voordat iemand het gevaar kan bereiken.
Bij PLr d moet OTE een veilige toestand initiëren en die handhaven totdat de storing is verwijderd. In dit voorbeeld doet KT dat. Alleen een rode melding op een scherm zou de motor onder spanning laten. De operator krijgt dan haarfijn uitgelegd waarom de beveiliging niet werkt, terwijl die beveiliging nog steeds niet werkt.
Punt 6.1.3.2.4 verlangt een testfrequentie die ten minste honderdmaal hoger is dan de frequentie waarmee de veiligheidsfunctie wordt aangesproken, óf een onmiddellijke test bij het aanspreken van de functie. In dat laatste geval moeten de foutdetectie en het bereiken van een niet-gevaarlijke toestand plaatsvinden voordat de gevarenzone bereikbaar is.
Het openen van de afscherming is hier het aanspreken van de functie. De verhouding 100:1 betekent niet dat vóór iedere opening honderd tests nodig zijn. De MTTFD van het testkanaal TE–OTE moet groter zijn dan de helft van de MTTFD van het functionele kanaal. Elk deel van het functionele kanaal vereist ten minste een lage diagnostische dekking.
Verder gelden de eisen van categorie B, beproefde veiligheidsprincipes en maatregelen tegen storingen door een gemeenschappelijke oorzaak in beide kanalen. Tot en met PLr c moet OTE eveneens een veilige toestand initiëren wanneer dat praktisch uitvoerbaar is. Is dat niet mogelijk, dan kan volgens de norm een waarschuwing toereikend zijn. Bij PLr d is een veiligheidsgerichte reactie verplicht.
Testen kan PL d opleveren, maar betrouwbaarheid telt mee
DC, de diagnostische dekking, beschrijft hoe effectief gevaarlijke storingen worden gedetecteerd. Voor het hele subsysteem wordt DCavg bepaald. Daarbij wegen de frequenties van gevaarlijke storingen in de afzonderlijke delen mee.
Bij dezelfde DCavg van 90% geeft categorie 2 volgens tabel K.1 PL a bij een MTTFD van het functionele kanaal van 3 jaar, PL b bij 10 jaar, PL c bij 30 jaar en PL d bij 100 jaar. De test is in elk voorbeeld aanwezig. Het verschil zit in het aantal storingen dat die test te verwerken krijgt.
| MTTFD van het functionele kanaal | PFH — gemiddelde frequentie van een gevaarlijke storing per uur | Bereikte PL |
|---|---|---|
| 3 jaar | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 jaar | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 jaar | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 jaar | 2,29 × 10⁻⁷ 1/h | PL d |
Bij categorie 2 hangt de bescherming af van twee vragen: detecteert de test het defect en reageert de schakeling snel genoeg? De testtijd is geen detail achteraf, maar onderdeel van het veiligheidsontwerp.
Categorie 3: K2 schakelt af zonder op het testresultaat te wachten
K1 en K2 staan in serie in de voeding van de motor. De operator opent de afscherming en de besturing geeft beide contactoren direct een uitschakelcommando. Iedere contactor heeft een eigen aanstuurroute en kan zelfstandig de voeding van de aandrijving onderbreken.
K1 blijft door vastgelaste contacten gesloten. K2 opent en onderbreekt de stroom. Het tweede kanaal voert de beschermende opdracht uit ondanks het defect in het eerste kanaal.
Dat is het wezenlijke verschil met categorie 2. Daar greep KT in nadat een test het defect in K1 had vastgesteld. Hier krijgt K2 het uitschakelcommando omdat de afscherming wordt geopend. Het hoeft niet op de diagnose van K1 te wachten.
De transportband staat stil, maar reparatie blijft nodig
Voor de operator ziet het resultaat eruit zoals altijd: de band stopt. In de kast is één contactor echter al defect. De diagnostiek detecteert dat de openingsbevestiging van K1 ontbreekt en blokkeert een volgende inschakeling.
K2 heeft de taak van het defecte kanaal overgenomen. Het heeft K1 niet onderweg gerepareerd. Als de besturing ondanks de gedetecteerde fout verdere productie zou toestaan, zou de volgende afschakeling alleen nog van K2 afhangen.
Categorie 3 verlangt dat de subfunctie na één defect behouden blijft. Dat geldt voor de componenten én verbindingen van het beoordeelde subsysteem. Als één fout in de aansturing beide spoelen onder spanning kan houden, voeren twee foutloze contactoren gezamenlijk het verkeerde commando uit.
Daarnaast vereist categorie 3 ten minste een lage diagnostische dekking. Een enkel defect moet worden gedetecteerd bij het aanspreken van de functie of vóór het volgende aanspreken, voor zover dat praktisch mogelijk is. Sommige defecten kunnen onopgemerkt blijven. Een latere combinatie daarvan kan de bescherming wegnemen. Precies daar begint het verschil met categorie 4.
Categorie 3 kan PL c, d of e bereiken
Bij DCavg = 90% en een MTTFD van ieder kanaal van 10 jaar geeft tabel K.1 PL c. Bij 30 jaar wordt PL d bereikt en bij 100 jaar PL e. De populaire verkorting "categorie 3 betekent PL d" gooit dus twee geldige uitkomsten overboord.
| MTTFD van ieder kanaal | PFH — gemiddelde frequentie van een gevaarlijke storing per uur | Bereikte PL |
|---|---|---|
| 10 jaar | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 jaar | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 jaar | 4,29 × 10⁻⁸ 1/h | PL e |
De MTTFD geldt voor elk kanaal afzonderlijk. Twee kanalen van 30 jaar worden samen geen kanaal met een MTTFD van 60 jaar. Ook de eisen van categorie B, de beproefde veiligheidsprincipes en de maatregelen tegen storingen door een gemeenschappelijke oorzaak blijven gelden.
K2 schakelt de aandrijving af ondanks de storing in K1. De diagnostiek bepaalt vervolgens of de schakeling nog toestemming krijgt voor een nieuwe cyclus.
Categorie 4: ook een defect dat aan de diagnostiek ontsnapt wordt een probleem
Na het vastlassen van K1 schakelt K2 de aandrijving af en blokkeert de besturing een volgende start. Tot zover lijkt dit sterk op categorie 3. Het verschil wordt zichtbaar bij de bredere analyse: welke defecten worden gedetecteerd, wanneer gebeurt dat en wat gebeurt er met defecten die onopgemerkt blijven?
Bij categorie 4 moet één defect de veiligheidsfunctie intact laten en worden gedetecteerd tijdens het aanspreken van de functie of vóór het volgende aanspreken. Als tijdige detectie niet mogelijk is, mag ook een opeenstapeling van defecten de bescherming niet uitschakelen.
De schakeling controleert ook of de bevestiging de waarheid spreekt
Iedere contactor heeft een afzonderlijk bewaakt spiegelcontact. De besturing controleert de reactie gedurende de hele cyclus:
- Vóór inschakeling zijn beide contactoren uitgeschakeld. De spiegelcontacten moeten bevestigen dat de vermogenscircuits open zijn.
- Na inschakeling moet de openingsbevestiging binnen de vastgestelde tijd verdwijnen.
- Na uitschakeling moet de bevestiging terugkeren.
Bij een vastgelaste K1 keert de laatste bevestiging niet terug. K2 schakelt de aandrijving af en de logica blokkeert herinschakeling.
Voor categorie 4 moet DCavg ten minste 99% zijn. Waarom moet ook het verdwijnen van de bevestiging worden gecontroleerd? Omdat de twee draden van het spiegelcontact kortgesloten kunnen raken. Het signaal meldt dan voortdurend "K1 open", ook wanneer de contactor juist is ingeschakeld.
Een systeem dat alleen vóór de start naar de aanwezigheid van dat signaal kijkt, accepteert de valse bevestiging. Dynamische controle ziet de tegenspraak: K1 kreeg een inschakelcommando, maar de melding "open" bleef staan. De besturing schakelt de uitgangen uit en blokkeert bedrijf.
De operator mag zo vaak op reset drukken als hij wil. Reset scheidt geen kortgesloten draden en trekt geen vastgelaste contacten los.
Deze diagnostiek kan ook in categorie 3 worden toegepast. Of een subsysteem categorie 4 bereikt, wordt bepaald door het gedrag van het hele subsysteem tegenover de beschouwde defecten en hun combinaties. De analyse omvat dus ook de aansturing, terugmelding en gevolgen van fouten daarin.
Twee kleppen laten zien waarom dat belangrijk is
V1 en V2 zijn zittingkleppen die in serie in de olietoevoer naar een cilinder zijn geplaatst. Iedere klep kan de toevoer zelfstandig onderbreken. Sensoren bewaken de positie van de afsluitelementen.
De zittingafdichting van V1 raakt beschadigd. Het afsluitelement bereikt de stand "gesloten", maar olie lekt langs de beschadiging. De positiesensor spreekt nog steeds de waarheid. V2 houdt de stroming tegen, zodat aan de machine niets gebeurt.
Later begint V2 door een onafhankelijke oorzaak eveneens te lekken. De stroming door beide kleppen is nu voldoende om de cilinder gevaarlijk te laten bewegen. Op het scherm staan nog altijd twee bevestigingen "gesloten". Ze zijn keurig met elkaar in overeenstemming en volkomen nutteloos voor het detecteren van deze storing.
Dit is een opeenstapeling van ongedetecteerde defecten die bij categorie 3 de bescherming kan wegnemen. Voor categorie 4 moet dit verloop worden doorbroken: een veiligheidsrelevante lekkage moet tijdig worden gedetecteerd, of de veiligheidsfunctie moet bij de beschouwde combinatie van defecten behouden blijven.
Een afzonderlijke lektest van iedere klep controleert precies wat de positiesensor niet kan controleren. Lekkage kan bijvoorbeeld de druk verhogen in een afgescheiden testruimte achter de klep, losgekoppeld van de cilinder. Een druksensor detecteert de stijging en de besturing blokkeert verder bedrijf.
Worden beide gesloten kleppen alleen gezamenlijk getest, dan kan de dichte V2 de lekkage van V1 verbergen. De testdrempel en testduur moeten een veiligheidsrelevante lekkage aantonen voordat gevaar ontstaat. Het ontwerp moet ook rekening houden met restdruk achter de kleppen: het stoppen van nieuwe toevoer verwijdert de al opgeslagen energie niet.
Die 99% moet uit werkelijke diagnostiek volgen
Categorie 4 vereist een hoge DCavg van minimaal 99% en een hoge MTTFD voor ieder kanaal. De 99% heeft betrekking op de frequentie van gedetecteerde gevaarlijke storingen. Wie negen zeldzame storingssoorten vindt maar één veelvoorkomende mist, kan nog steeds een zwak resultaat hebben. De afvinklijst ziet er dan beter uit dan de beveiliging.
| MTTFD van ieder kanaal | PFH — gemiddelde frequentie van een gevaarlijke storing per uur | Bereikte PL |
|---|---|---|
| 30 jaar | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 jaar | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 jaar | 9,06 × 10⁻¹⁰ 1/h | PL e |
Voor categorie 4 laat het model een MTTFD van een kanaal tot 2 500 jaar toe. Ook dat blijft een statistische parameter. De eisen van categorie B, beproefde veiligheidsprincipes en maatregelen tegen gemeenschappelijke oorzaken blijven van kracht.
Punt 6.1.3.2.6 geeft aan dat het in de praktijk voldoende kan zijn combinaties van twee defecten te beschouwen. Het buiten beschouwing laten van ongedetecteerde storingen met een zeer lage waarschijnlijkheid vereist een gedocumenteerde en geverifieerde analyse, bijvoorbeeld een FMEA.
Diagnostiek moet controleren of de veiligheidsopdracht nog kan worden uitgevoerd. Een klep kan haar gesloten positie correct bevestigen en tegelijkertijd olie doorlaten.
Vijf categorieën, één vastgelaste K1
In B en 1 blijft de motor na het vastlassen van K1 onder spanning. In categorie 2 schakelt KT af nadat TE het defect heeft gedetecteerd. In categorie 3 en 4 schakelt K2 af, omdat het tegelijk met het openen van de afscherming een uitschakelcommando krijgt. De diagnostiek maakt de storing zichtbaar en blokkeert een volgende cyclus.
Daarom stopt een beoordeling niet na de eerste geslaagde beschermende reactie. De echte vraag is wat er daarna met de resterende defecten gebeurt.
Twee contactoren kunnen verliezen van dezelfde kortsluiting
Tot nu toe faalde K1 en redde K2 de afschakeling. Maar stel dat achter K2 kortsluiting ontstaat. De kortsluitstroom loopt door beide gesloten contactoren en beschadigt beide. Het tweede kanaal ontmoet exact dezelfde oorzaak als het eerste.
Dat is CCF: een storing door een gemeenschappelijke oorzaak. In categorie 3 en 4 betreft dit beide functionele kanalen. In categorie 2 gaat het om het functionele kanaal en het testkanaal. De ontwerper moet de gezamenlijke blootstelling met concrete maatregelen beperken.
K2 sluit eerst en opent als laatste
Eerst sluit K2. K1 staat nog open, zodat geen motorstroom loopt. Daarna sluit K1 de stroomkring en schakelt de belasting in. Bij uitschakeling gebeurt het omgekeerde: K1 onderbreekt de stroom en K2 opent iets later, nadat de belastingsstroom al is verdwenen.
Beide contactoren voeren tijdens bedrijf dezelfde stroom, maar hun schakelbelasting verschilt. K2 vermijdt normaal de aanloopstroom en het onderbreken van de belasting. Dat beperkt de elektrische slijtage van de contacten. Het mechanisme maakt nog steeds iedere beweging, dus de mechanische slijtage blijft.
K2 moet desondanks geschikt zijn om zelfstandig de volledige belasting te onderbreken. Zodra K1 vastgelast is, moet K2 precies dat doen. Het uitschakelen moet binnen de vastgestelde tijd gebeuren zonder op een bevestiging van K1 te wachten. Bij vastlassen komt die bevestiging immers niet. Vertragingen en apparaattijden moeten binnen de vereiste reactietijd van de veiligheidsfunctie blijven.
De kortsluitbeveiliging moet de gevolgen van één gemeenschappelijke gebeurtenis beperken
De schakelvolgorde maakt de belasting tijdens normaal in- en uitschakelen verschillend. Bij een kortsluiting met beide contactoren gesloten worden ze echter allebei belast. Beveiliging F moet de stroom onderbreken. De gevolgen worden bepaald door de waarde en duur van de kortsluitstroom.
De ontwerper bepaalt de te verwachten kortsluitstroom op de montageplaats en controleert de complete combinatie: het specifieke contactortype, type en nominale stroom van de beveiliging, spanning en toepassingsvoorwaarden. De fabrikantgegevens bepalen welke samenwerking is toegestaan. Alleen de nominale motorstroom vertelt te weinig.
Na het aanspreken van F kunnen door de kortsluiting vastgelaste contacten gesloten blijven. De smeltveiligheid onderbreekt de stroom. Reparatie van contactoren zit niet bij die dienst inbegrepen. Vóór hervatting van het bedrijf moeten beide apparaten worden gecontroleerd en alle schade worden verholpen.
IEC 60947-4-1:2019-05, punt 8.2.5.1, staat ook bij coördinatietype 2 de mogelijkheid van vastgelaste contacten toe. De fabrikant schrijft de noodzakelijke onderhoudshandelingen voor. Gebruik van een andere beveiliging dan aanbevolen kan de coördinatie ongeldig maken.
Gemeenschappelijke kabelroute, voeding en oververhitting
De draden van beide spoelen lopen in één bundel. Een beknelling sluit beide aansturingen kort met +24 V. Gescheiden en beschermde routes en fysiek gescheiden aansluitklemmen verkleinen de kans dat één beschadiging beide kanalen treft.
Een gemeenschappelijke voeding levert na een defect een te hoge spanning. De ontwerper controleert het foutgedrag van die voeding en past passende spanningsbegrenzing of externe beveiliging toe voor de gevoede circuits.
Beide contactoren hangen boven een aandrijving en worden warm. Na uitval van de ventilator overschrijdt de temperatuur de toegestane waarde. Plaatsing, onderlinge afstand en koeling moeten ook voor zo'n situatie geschikt zijn. Een open kast tijdens de afname heeft bijna altijd een fantastische ventilatie. De gesloten productiekast op een warme middag is minder behulpzaam.
Beide kanalen lopen naast de motorkabels van de aandrijving. Scheiding van routes, afscherming en potentiaalvereffening helpen de gemeenschappelijke invloed van elektromagnetische verstoringen te beperken. De storingsbestendigheid moet passen bij de werkelijke bedrijfsomstandigheden.
Bijlage F structureert de beoordeling met punten. Deze methode verlangt minimaal 65 punten voor de toegepaste maatregelen. Voorbeelden zijn kanaalscheiding met 15 punten, bescherming tegen relevante overstroom en overspanning met 15 punten, maatregelen tegen elektromagnetische verstoringen met 25 punten en overige omgevingsfactoren met 10 punten.
Ook met identieke contactoren kan zo'n resultaat worden onderbouwd. Diversiteit in constructie, techniek, belasting of fabrikant levert in één onderdeel maximaal 20 punten op. Twee merknamen op hetzelfde product maken nog geen diversiteit. Een maatregel moet voor het hele beoordeelde subsysteem zijn uitgevoerd; gedeeltelijke toepassing levert voor die positie nul punten op.
Een tweede kanaal helpt alleen wanneer een gemeenschappelijke oorzaak niet beide kanalen tegelijk hun handelingsvermogen ontneemt.
Waar zitten de twee kanalen in een sensor, relais of PLC?
K1 en K2 zijn makkelijk met een vinger aan te wijzen. In elektronica kunnen meerdere kanalen binnen één behuizing zitten. De norm beschrijft de logische structuur; de fabrikant legt vast hoe een specifiek apparaat intern is opgebouwd.
Twee sensoren bij één afscherming
Inductieve sensoren S1 en S2 detecteren een metalen doel op de gesloten afscherming. Iedere sensor levert een eigen signaal aan een afzonderlijke ingang. Voor bedrijf zijn twee bevestigingen "gesloten" nodig.
S1 raakt defect en blijft "gesloten" melden. De operator opent de afscherming en het metaal beweegt bij beide sensoren vandaan. De intacte S2 verandert van toestand, waarna de besturing een stopcommando geeft. Het verlies van één bevestiging is voldoende voor de reactie.
Eén veiligheidssensor met twee OSSD-uitgangen
Een inductieve veiligheidssensor kan interne diagnostiek en twee bewaakte elektronische OSSD-uitgangen hebben. Wanneer het metalen doel wegbeweegt, schakelen beide uitgangen uit en geven ze de besturing een stopverzoek. De diagnostiek bewaakt ook hun vermogen om werkelijk uit te schakelen.
Een gewone sensor kan eveneens twee uitgangen hebben, maar heel anders functioneren. Eén elektronisch detectiecircuit herkent metaal en stuurt met hetzelfde resultaat beide uitgangen aan. NO schakelt bij detectie in; NC schakelt op dat moment uit. Als de elektronica bij een geopende afscherming ten onrechte metaal detecteert, gedragen beide uitgangen zich exact alsof de afscherming gesloten is.
Het controleren van hun tegengestelde toestanden onthult die fout niet. De besturing ontvangt twee varianten van dezelfde vergissing. Het splitsen van één signaal over twee ingangen heeft hetzelfde fundamentele probleem.
Veiligheidsrelais en besturing
In een klassiek veiligheidsrelais werken twee interne relais R1 en R2. Hun vrijgavecontacten staan in serie. Last een contact van R1 vast, dan kan R2 de uitgang nog openen. Mechanisch gekoppelde bewakingscontacten maken detectie van het vastlassen en blokkering van een herstart mogelijk.
Een veiligheidsgerelateerde PLC kan twee processoren gebruiken en de uitkomsten vergelijken. De ene berekent ten onrechte een vrijgave, de andere een stop. De afwijking activeert een beschermende reactie. Tests kunnen ook geheugen, programmaverwerking en in- en uitgangen bewaken.
Twee kopieën van een programma in een gewone PLC kunnen daarentegen op dezelfde processor draaien. Een defect van die ene processor treft beide kopieën. Code kopiëren is makkelijker dan foutbestendigheid bouwen, maar het resultaat is niet hetzelfde.
Lichtscherm
De operator onderbreekt de stralen tussen zender en ontvanger. Het lichtscherm schakelt OSSD1 en OSSD2 uit. Blijft een defecte OSSD1 ingeschakeld, dan is het uitschakelen van OSSD2 nog steeds voldoende om de aangesloten besturing een stopcommando te laten geven.
Iedere uitgang gaat naar de daarvoor bedoelde ingang. De diagnostiek omvat de uitgangen en hun aansluitingen. In de apparaatdocumentatie controleert de ontwerper de bereikte PL, categorie, reactietijd en voorgeschreven aansluiting. Alleen zo kunnen de eigenschappen van een kant-en-klaar subsysteem correct in een concrete veiligheidsfunctie worden gebruikt.
Dezelfde PL, ander gedrag na een defect
De ene ontwerper bereikt PL d met categorie 2, de andere met categorie 3. Beide berekeningen kunnen correct zijn. De eerste gebruikt een zeer betrouwbaar kanaal met tests. De tweede gebruikt twee functionele kanalen.
| Categorie | MTTFD van het kanaal | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 jaar | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 jaar | 90% | 2,65 × 10⁻⁷ | d |
Bij categorie 2 geldt de MTTFD voor het functionele kanaal. Bij categorie 3 geldt de waarde voor elk van de twee kanalen. Beide PFH-waarden vallen binnen PL d. Toch kan categorie 2 de subfunctie tussen tests verliezen, terwijl categorie 3 haar na één defect behoudt.
Als de SRS of een type-C-norm voor de betreffende machine verlangt dat de functie na één defect behouden blijft, moet het ontwerp precies dat gedrag leveren. Alleen de letter d beslist de architectuur niet.
Dezelfde categorie, betere diagnostiek
Bij categorie 3 en een MTTFD van ieder kanaal van 100 jaar verschuift het resultaat door een wijziging van DCavg van 60% naar 90% van PL d naar PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
De hogere diagnostische dekking moet volgen uit effectievere detectie en een passende reactie. Dynamische controle van een terugmeldsignaal kan bijvoorbeeld een kortsluiting ontdekken die voortdurend een geopende contactor bevestigt. Zo'n maatregel verandert het werkelijke gedrag. Alleen in de rekensoftware 60% vervangen door 90% verandert voorlopig alleen de afdruk.
De getallen komen uit de subsysteemmodellen van ISO 13849-1:2023-09. De methode uit punt 6.1.8 gaat uit van een gebruiksduur van 20 jaar, constante storingsintensiteiten en passende maatregelen tegen CCF. Voor componenten die eerder slijten, moeten hun gebruiksbeperkingen worden meegenomen.
Voor categorie 2 gelden daarnaast de eisen voor het testkanaal en voor de testfrequentie of reactietijd bij het aanspreken van de functie. Bij periodiek testen horen de getoonde PFH-waarden bij een verhouding tussen test- en aanspreekfrequentie van minimaal 100:1. Opmerking 1 bij tabel K.1 geeft voor een verhouding van minimaal 25:1 een schatting door de tabelwaarde van PFH met 1,1 te vermenigvuldigen.
De tabelwaarden voor lage, gemiddelde en hoge DCavg zijn berekend met respectievelijk 60%, 90% en 99%.
PL beschrijft het prestatieniveau. De categorie laat zien hoe de schakeling met defecten omgaat. Voor een verdedigbaar ontwerp zijn beide nodig.
De contactoren staan klaar om af te schakelen, maar het commando komt niet
Het subsysteem K1–K2 haalt PL e. De afschermingssensor meldt de logica echter ten onrechte dat de deur gesloten is. De besturing blijft beweging toestaan en beide contactoren blijven ingeschakeld. Ze kunnen foutloos en perfect bewaakt zijn. Het probleem ontstond eerder, bij de ingang van de veiligheidsfunctie.
Daarom beoordeelt de ontwerper de volledige keten: ingang → logica → uitgang, inclusief de verbindingen. Bij een serieschakeling van subsystemen met bekende PFH worden de waarden opgeteld. De laagste PL van een subsysteem en de uitkomst van die som begrenzen samen de PL van de volledige functie.
Drie subsystemen van elk 4 × 10⁻⁸ 1/h leveren samen 1,2 × 10⁻⁷ 1/h op: PL d. Ieder subsysteem afzonderlijk viel binnen PL e. Het rekenwerk is simpel. De volledige functie heeft simpelweg meer plaatsen waar een gevaarlijke storing kan optreden. De details staan in het artikel over het berekenen van PL volgens ISO 13849-1.
Na het onderbreken van de voeding heeft de transportband bovendien tijd nodig om uit te lopen. De beveiliging moet reageren voordat iemand het gevaar bereikt. Dat verband wordt duidelijk bij de afstand van een lichtscherm na wijziging van de reactietijd. Bij het combineren van subsystemen die met verschillende methoden zijn beoordeeld, helpt ook de vergelijking tussen ISO 13849-1 en IEC 62061.
Na enkele jaren vervangt iemand K1
De nieuwe contactor heeft dezelfde nominale stroom en past op de montagerail. De monteur heeft echter ook het juiste spiegelcontact, passende schakeltijden en betrouwbare levensduurgegevens nodig. Die eigenschappen maakten deel uit van het oorspronkelijke ontwerp.
De notitie "24 V, evenveel ampère" laat precies weg wat de diagnostiek nodig heeft. Goede documentatie legt vast waarom een apparaat is gekozen, wat de schakeling bewaakt en hoe zij op een defect reageert. Zonder die informatie resteert een telefoontje naar de programmeur en de hoop dat die zich de reden achter iedere voorwaarde nog herinnert. Dan rust de ontwerpverantwoording op het geheugen van één persoon.
| Veld | Vastlegging |
|---|---|
| Reikwijdte | Uitgangssubsysteem K1–K2 met verbindingen en bewaking; opdracht: voeding van de aandrijving onderbreken. |
| Beschouwd defect | K1 blijft ondanks een uitschakelcommando gesloten. |
| Vereiste reactie | K2 schakelt de aandrijving zelfstandig af. Het uitblijven van de terugmelding van K1 maakt het defect zichtbaar en blokkeert herinschakeling. |
| Te leveren bewijs | Foutanalyse en test T-01: controle van de afschakeling door K2, reactietijd, detectie en blokkering. Het resultaat moet voor de concrete versie van de schakeling worden vastgelegd. |
Een volledige registratie koppelt deze informatie aan de SRS, de schemaversie, de onderbouwing van MTTFD, DCavg en CCF en de validatieresultaten. Ook toegepaste foutuitsluitingen moeten daarin worden verantwoord.
Download de onderbouwingskaart voor de categorie (PDF, EN): een voorbeeld voor K1–K2 en een invulbaar formulier voor een eigen ontwerp in één bestand.
Een manager hoeft PFH niet persoonlijk uit te rekenen. Hij kan de leverancier wel vragen één defect op het schema aan te wijzen: wat gaat kapot, wat beschermt de mens nog steeds, wanneer merkt de besturing het probleem en waar staat het testresultaat? Dat levert een veel beter gesprek op dan vragen naar het merk van het veiligheidsrelais.
Twee contactoren zijn een regel op de bestellijst. Pas hun werkelijke functie, diagnostiek en technische onderbouwing maken het mogelijk een veiligheidscategorie toe te kennen.
Bronnen
De voorbeelden met de transportband, contactoren en kleppen verduidelijken de normatieve eisen. De PFH-waarden en bijbehorende PL komen uit tabel K.1.
- ISO 13849-1:2023-09, punten 4.5, 5.1, 5.2.1 en 5.3–5.5: informatie uit de risicobeoordeling, SRS, PLr en verdeling in subsystemen; definities 3.1.45–3.1.47 en punten 6.1.3.1–6.1.3.2.1: subsysteem, kanaal en architecturen.
- ISO 13849-1:2023-09, punten 6.1.3.2.2–6.1.3.2.6: eisen voor categorie B–4, reactie op defecten, testen en opeenstapeling van defecten; definities 3.1.49–3.1.50 en punt 6.1.11: beproefde veiligheidsprincipes en componenten.
- ISO 13849-1:2023-09, tabellen 2, 6 en 7, punten 6.1.4–6.1.5 en 6.1.8, bijlagen C–E en tabel K.1 met opmerkingen 1–2: PL, PFH, MTTFD, DC, levensduurgegevens, aantallen schakelingen en aannames van de getalsmodellen.
- ISO 13849-1:2023-09, punt 6.1.6, bijlage F en tabel F.1: CCF, maatregelen tegen gemeenschappelijke blootstelling, puntenbeoordeling en de grens van 65 punten; F.3.2: diversiteit; F.3.3 en F.3.6: beveiligingen, verstoringen en omgevingsomstandigheden.
- IEC 60947-4-1:2019-05, punt 8.2.5.1: samenwerking tussen contactoren en kortsluitbeveiligingen en coördinatietype 2; punten 8.2.4.3.1–8.2.4.3.2 en bijlage B: mechanische en elektrische levensduur; bijlage F: eigenschappen en identificatie van spiegelcontacten.
- ISO 13849-1:2023-09, punt 6.1.10, definities 3.1.29–3.1.30 en 3.1.51–3.1.52, bijlage E en tabel E.1: foutanalyse, bewaking, testen en plausibiliteitscontrole; hoofdstuk 7 en bijlage N: software en vooraf beoordeelde platforms; punt 13.2: integratie-informatie.
- ISO 4413:2011, punt 5.4.4.1: dichtheid en geschiktheid van kleppen voor veiligheidsgerelateerde toepassingen; punten 5.4.7.1–5.4.7.2.1: onbedoelde beweging, energie-isolatie en drukafbouw.
- ISO 13849-1:2023-09, punt 6.2.2 en hoofdstuk 8: combinatie van subsystemen, optelling van PFH en begrenzing van de bereikte PL; punt 5.2.2.2: stoppen; punten 10.1.1–10.1.2 en 10.8 en hoofdstuk 12: validatie, registraties en technische documentatie.