Czym są kategorie bezpieczeństwa według PN-EN ISO 13849-1?

Kategorie bezpieczeństwa B, 1, 2, 3 i 4 opisują strukturę części systemu sterowania związanych z bezpieczeństwem oraz ich zachowanie w przypadku defektów. Określają między innymi wymagania dotyczące liczby kanałów, diagnostyki, niezawodności i odporności na uszkodzenia. Kategoria nie opisuje samego aparatu, lecz kompletny podsystem: jego elementy, połączenia, sterowanie i nadzorowanie.

Czy dwa styczniki automatycznie oznaczają kategorię 3?

Nie. Dwa styczniki tworzą kategorię 3 tylko wtedy, gdy są rzeczywiście niezależnymi drogami odłączenia, pojedynczy defekt nie powoduje utraty funkcji bezpieczeństwa, a defekty są wykrywane w zakresie wymaganym przez normę. Trzeba również przeanalizować obwody sterowania, sprzężenie zwrotne, wyjścia logiki, zwarcia międzykanałowe i uszkodzenia o wspólnej przyczynie. Sama liczba aparatów nie przesądza o kategorii bezpieczeństwa.

Czym różni się kategoria bezpieczeństwa od poziomu PL?

Kategoria opisuje głównie architekturę i zachowanie układu przy defektach. PL określa natomiast zdolność części systemu sterowania do realizacji funkcji bezpieczeństwa, z uwzględnieniem kategorii, MTTF D , DC avg , CCF oraz częstości uszkodzeń niebezpiecznych PFH. Ta sama kategoria może prowadzić do różnych poziomów PL. Zastosowanie architektury danej kategorii nie jest więc automatycznym potwierdzeniem osiągnięcia wymaganego PLr.

Jak zachowują się kategorie B i 1 po zgrzaniu stycznika?

W obu kategoriach pojedynczy stycznik może być jedyną drogą odłączenia napędu. Jeżeli jego zestyki się zgrzeją, wyłączenie cewki nie musi przerwać zasilania silnika, a funkcja bezpieczeństwa może zostać utracona. Kategoria 1 wymaga wypróbowanych komponentów, wypróbowanych zasad bezpieczeństwa i wysokiego MTTF D . Zmniejsza to prawdopodobieństwo uszkodzenia, ale nie tworzy drugiego kanału.

Na czym polega kategoria 2 według PN-EN ISO 13849-1?

W kategorii 2 realizacja funkcji bezpieczeństwa jest okresowo sprawdzana przez układ testujący. Test powinien odbywać się w odpowiednich chwilach i z częstotliwością wystarczającą w stosunku do częstości żądań funkcji bezpieczeństwa. Diagnostyka może wykryć zgrzany stycznik i zapobiec kolejnemu uruchomieniu, lecz testowanie nie jest tym samym co pełna redundancja. Między testami pojedynczy defekt może prowadzić do utraty funkcji.

Kategorie bezpieczeństwa ISO 13849-1: B, 1, 2, 3 i 4

„Dwa styczniki i przekaźnik bezpieczeństwa, czyli kategoria 3”. W szafie wszystko się zgadza. Na liście zakupowej też. Dopiero zgrzany stycznik sprawdza, ile z tego porządku zostaje w działaniu.

Operator otwiera osłonę przenośnika. Sterowanie wyłącza cewkę K1, ale jego zestyki się zgrzały. Silnik nadal dostaje zasilanie. Polecenie było prawidłowe. Stycznik po prostu go nie wykonał.

Drugi stycznik może uratować odłączenie. Diagnostyka może ujawnić uszkodzenie i zablokować kolejny rozruch. Wszystko zależy od tego, jak projektant zbudował układ. Samo wpisanie „kategoria 3” do dokumentacji jest tu najmniej pracochłonną czynnością.

Kategorie bezpieczeństwa według ISO 13849-1 opisują odporność podsystemu na defekty i jego zachowanie po ich wystąpieniu. Różnicę między B, 1, 2, 3 i 4 najłatwiej zrozumieć na tym samym zadaniu: odcięciu zasilania napędu, również wtedy, gdy coś w układzie zawiedzie.

Podczas odbioru każdy sprawny układ potrafi wyglądać dobrze. Kategorie zaczynają mieć znaczenie, gdy układ przestaje być sprawny.

Najpierw zadanie, potem aparaty w szafie

Operator ma poprawić detal. Taśma musi zatrzymać się przed dostępem do niebezpiecznego miejsca i pozostać zatrzymana podczas pracy przy otwartej osłonie. Projektant wyprowadza te wymagania z oceny ryzyka według ISO 12100, a następnie zapisuje je w specyfikacji wymagań bezpieczeństwa — SRS.

Cała funkcja obejmuje wykrycie otwarcia osłony, decyzję sterowania i odłączenie napędu. Każdą z tych części można wydzielić jako podsystem. W kolejnych wariantach zmienia się podsystem wyjściowy: styczniki, ich połączenia i nadzorowanie. Jego zadanie, czyli podfunkcja, to odcięcie zasilania napędu.

Stycznik działa jak elektrycznie sterowany łącznik. Napięcie na cewce zamyka zestyki mocy, przez które płynie prąd do silnika. Po wyłączeniu cewki sprawny aparat je otwiera. Zgrzanie zestyków odbiera mu właśnie tę zdolność.

Przy dwóch stycznikach K1 i K2 prąd silnika płynie kolejno przez oba. Otwarcie dowolnego z nich przerywa obwód. Każdy wraz ze swoim sterowaniem tworzy osobną drogę odłączenia, czyli kanał.

Kategoria B: K1 się zgrzał. Zasilanie zostaje

Napęd odłącza jeden stycznik K1. Po otwarciu osłony sterowanie wyłącza cewkę, zestyki się otwierają i silnik traci zasilanie. Przez tysiące cykli wszystko może przebiegać właśnie tak.

Podczas następnego załączenia zestyki się zgrzewają. Przenośnik pracuje dalej, więc operator jeszcze niczego nie zauważa. Otwiera osłonę. Napięcie cewki znika, lecz prąd do silnika nadal płynie. W tym układzie nie ma drugiego elementu, który mógłby go przerwać.

Jeden defekt odbiera podsystemowi zdolność odłączenia napędu. Gdyby zamiast zgrzania przerwał się przewód cewki, sprawny stycznik by się wyłączył. To inny defekt i inny skutek. Hasło „przy awarii stycznik odpadnie” działa świetnie, dopóki autor sam wybiera sobie awarię.

Kategoria B: trzy zestyki mocy K1 i jego cewka; po zgrzaniu zasilanie silnika pozostaje załączone mimo wyłączenia cewki. — Po lewej sprawny K1 otwiera obwód po wyłączeniu cewki. Po prawej zgrzane zestyki nadal przewodzą. L1–L3 oznaczają fazy zasilania, M — silnik, I — prąd, A1–A2 — zaciski cewki, a L:Q1 — wyjście logiki sterujące cewką. Znak × wskazuje zgrzany zestyk.

Kategoria B wymaga podstawowych zasad bezpieczeństwa i doboru elementów do rzeczywistych warunków. Stycznik ma wytrzymać obciążenie, przełączenia i temperaturę w szafie. Litera B nie jest zgodą na montaż tego, co akurat zostało w magazynie.

Kiedy kategoria B daje PL a, a kiedy PL b?

Dwa takie układy mogą wyglądać identycznie, a różnić się częstością niebezpiecznych uszkodzeń. Jeden stycznik załącza silnik raz na zmianę. Drugi robi to przy każdym detalu. Ten sam model, zupełnie inna liczba przełączeń.

Projektant uwzględnia trwałość aparatu i rzeczywistą pracę maszyny. Wyznacza MTTFD — średni czas do niebezpiecznego uszkodzenia. Im większa wartość, tym rzadziej statystycznie występują takie uszkodzenia. Dla kanału uwzględnia wszystkie elementy, których uszkodzenie może pozbawić go zdolności odłączenia.

Przykłady dla podsystemu kategorii B według tablicy K.1 normy

MTTFD kanału	PFH — średnia częstość uszkodzenia niebezpiecznego na godzinę	Osiągany PL
10 lat	1,14 × 10−5 1/h	PL a
12 lat	9,51 × 10−6 1/h	PL b
20 lat	5,71 × 10−6 1/h	PL b

Przy 10 latach wynik to PL a, przy 12 latach — już PL b. PFH, czyli średnia częstość uszkodzenia niebezpiecznego na godzinę, spada poniżej granicy 10−5 1/h. Zmienia się niezawodność. Po zgrzaniu stycznika oba układy nadal zachowają się tak samo.

MTTFD jest parametrem statystycznym. „20 lat” w obliczeniach nie daje stycznikowi dwudziestoletniej gwarancji ani terminu wymiany. Tę datę ustala się z uwzględnieniem warunków i ograniczeń użytkowania aparatu.

Podane wartości dotyczą podsystemu wyjściowego. W całej funkcji dochodzą PFH czujnika i logiki: PFH wejścia + PFH logiki + PFH wyjścia. Wynik porównuje się z przedziałami PL, a dodatkowo ogranicza go najniższy PL któregoś z podsystemów. Dlatego wyjście z PL b może po połączeniu z resztą dać funkcję z PL a.

Kategoria B pozwala osiągnąć najwyżej PL b. Gdy wymagany poziom skuteczności, oznaczany PLr, wynosi d, trzeba zastosować inne rozwiązanie. Kolejne udane otwarcie osłony podczas odbioru nie przesunie tej granicy.

W kategorii B wszystko zależy od jednego kanału. Gdy zgrzany K1 przestaje odłączać napęd, układ traci tę ochronę.

Kategoria 1: ten sam problem ma zdarzać się rzadziej

Napęd nadal odłącza jeden K1. Projektant podnosi wymagania wobec jego niezawodności oraz sposobu zastosowania. Oprócz zasad kategorii B stosuje wypróbowane komponenty i wypróbowane zasady bezpieczeństwa. MTTFD kanału musi być wysoki: w metodzie uproszczonej od 30 do 100 lat.

„Wypróbowany” odnosi się do konkretnych warunków pracy. Aparat, który przez lata bez problemu przełączał grzałki, dostaje teraz silnik z dużym prądem rozruchowym i częstymi załączeniami. Znajome logo pozostaje. Obciążenie już się zmieniło.

Podstawą doboru są udokumentowane doświadczenia z podobnych zastosowań albo właściwości wykazane przez wykonanie, weryfikację i walidację według odpowiednich norm. ISO 13849-2 wskazuje też komponenty i warunki uznania ich za wypróbowane. Projektant stosuje zasady, które ograniczają powstawanie defektów lub ich niebezpieczne skutki.

A potem K1 jednak się zgrzewa. Cewka zostaje wyłączona, zestyki pozostają zamknięte, silnik nadal jest zasilany. Kategoria 1 zmniejsza prawdopodobieństwo takiego zdarzenia. Drugi kanał od tego nie powstaje.

Kategoria 1: wyższa niezawodność K1, lecz zgrzane zestyki nadal przewodzą po wyłączeniu cewki. — Wyższa niezawodność zmniejsza częstość niebezpiecznych uszkodzeń. Gdy jednak K1 się zgrzeje, jego zestyki pozostają zamknięte także przy wyłączonej cewce. Strzałka przy MTTFD wskazuje wyższe wymaganie niezawodności niż w kategorii B.

Większa niezawodność: od PL b do PL c

Dla MTTFD kanału równego 30 lat tablica K.1 daje PL b. Przy 39 latach PFH spada poniżej 3 × 10−6 1/h i wynik przechodzi do PL c.

Kategoria 1: wartości MTTFD, PFH i PL

Przykłady dla podsystemu kategorii 1 według tablicy K.1 normy

MTTFD kanału	PFH — średnia częstość uszkodzenia niebezpiecznego na godzinę	Osiągany PL
30 lat	3,80 × 10−6 1/h	PL b
39 lat	2,93 × 10−6 1/h	PL c
100 lat	1,14 × 10−6 1/h	PL c

Pułap kategorii 1 to PL c. Lepszy aparat ma wartość: rzadziej zawodzi. Gdy jednak zawiedzie właśnie przez zgrzanie, napęd nadal nie ma drugiej drogi odłączenia.

Kategoria 1 opiera ochronę na większej niezawodności jednego kanału. Uszkodzenie tego kanału nadal może ją odebrać.

Kategoria 2: układ sprawdza, czy K1 wykonał polecenie

Operator otwiera osłonę. Sterowanie wyłącza K1 i czeka na potwierdzenie otwarcia jego zestyków. Tym razem polecenie ma zostać sprawdzone.

Informację przekazuje zestyk lustrzany stycznika. Jego konstrukcja uniemożliwia zamknięcie, gdy zestyk mocy pozostaje zgrzany. Układ otrzymuje więc sygnał zwrotny: K1 otworzył obwód albo nie wykonał polecenia.

K1 się zgrzał. Potwierdzenie nie wraca. Test ujawnia defekt i uruchamia reakcję. W tym wariancie dodatkowy stycznik KT, włączony szeregowo z K1, odcina zasilanie. Sterowanie blokuje kolejne załączenie do usunięcia uszkodzenia.

W normie urządzenie testujące ma oznaczenie TE, a jego wyjście — OTE. Tutaj OTE steruje KT. K1 należy do kanału funkcjonalnego, który wykonuje zwykłe odłączenie. TE i OTE tworzą kanał testujący, który sprawdza wykonanie zadania i uruchamia reakcję na defekt.

W szafie są dwa styczniki, a nadal jest to przykład kategorii 2. KT dostaje zadanie odłączenia po wykryciu problemu z K1. Już tutaj liczenie aparatów zaczyna przegrywać z czytaniem schematu.

Kategoria 2: otwarcie osłony wyłącza K1, a wykrycie jego zgrzania przez test TE uruchamia OTE i wyłączenie KT. Poniżej obwód elektryczny. — Cyjan: otwarcie osłony uruchamia wyłączenie K1 przez Q1. Bursztyn: TE wykrywa brak potwierdzenia otwarcia K1 i przez OTE uruchamia odłączenie przez KT. Kłódka oznacza blokadę ponownego załączenia. Dolny obwód pokazuje stan po zadziałaniu KT.

Wczoraj sprawny. Przy dzisiejszym załączeniu już zgrzany

K1 poprawnie przechodzi test. Przy następnym załączeniu jego zestyki się zgrzewają. Do kolejnego sprawdzenia kanał funkcjonalny jest niesprawny. Poprzedni wynik testu niczego tu nie ukrywał — po prostu maszyna zdążyła się od tego czasu zepsuć.

Dlatego kategoria 2 może utracić podfunkcję między testami. Projektant musi ustalić, kiedy wykonać test i jak szybko zareagować. Jeśli sprawdzenie zaczyna się przy otwarciu osłony, wykrycie defektu, wyłączenie KT i zatrzymanie ruchu muszą nastąpić przed dostępem człowieka do zagrożenia.

Przy wymaganym PLr d wyjście OTE ma inicjować stan zapewniający bezpieczeństwo i utrzymywać go do usunięcia defektu. W tym układzie służy do tego KT. Sam czerwony komunikat na ekranie pozostawiłby silnik pod napięciem. Bardzo czytelnie poinformowałby operatora, dlaczego ochrona nie działa.

Częstość testów i czas reakcji według normy

Punkt 6.1.3.2.4 przewiduje częstość testów co najmniej 100 razy większą od częstości przywołań funkcji albo test natychmiast przy przywołaniu, z wykryciem defektu i doprowadzeniem maszyny do stanu niezagrażającego przed sięgnięciem do strefy zagrożenia. Otwarcie osłony jest tutaj przywołaniem funkcji, czyli chwilą, w której potrzebna jest jej reakcja. Stosunek częstości 100:1 nie oznacza stu prób przed każdym otwarciem osłony.

MTTFD kanału testującego TE–OTE musi przekraczać połowę MTTFD kanału funkcjonalnego. Każda część kanału funkcjonalnego wymaga co najmniej niskiego pokrycia diagnostycznego. Obowiązują zasady kategorii B, wypróbowane zasady bezpieczeństwa oraz środki przeciw uszkodzeniom o wspólnej przyczynie obu kanałów.

Dla PLr do c włącznie OTE również ma inicjować stan zapewniający bezpieczeństwo, jeśli jest to wykonalne. Gdy jest to niemożliwe, norma dopuszcza, że wystarczające może być ostrzeżenie. Przy PLr d obowiązuje reakcja zapewniająca bezpieczeństwo.

Testowanie może dać PL d. Liczy się też niezawodność

DC, czyli pokrycie diagnostyczne, opisuje skuteczność wykrywania uszkodzeń niebezpiecznych. Dla całego podsystemu wyznacza się średnie pokrycie diagnostyczne DCavg, uwzględniające częstości takich uszkodzeń w jego częściach.

Przy tym samym DCavg = 90% kategoria 2 daje w tablicy K.1 PL a dla MTTFD kanału równego 3 lata, PL b przy 10 latach, PL c przy 30 i PL d przy 100. Test jest w każdym wariancie. Różni je częstość awarii, z którymi musi sobie poradzić.

Kategoria 2: wartości MTTFD, PFH i PL

Podsystem kategorii 2, DCavg = 90% — przykłady według tablicy K.1

MTTFD kanału funkcjonalnego	PFH — średnia częstość uszkodzenia niebezpiecznego na godzinę	Osiągany PL
3 lata	1,99 × 10−5 1/h	PL a
10 lat	5,14 × 10−6 1/h	PL b
30 lat	1,21 × 10−6 1/h	PL c
100 lat	2,29 × 10−7 1/h	PL d

W kategorii 2 ochrona zależy od tego, czy test wykryje defekt, a układ zdąży zareagować. Czas sprawdzenia jest częścią projektu.

Kategoria 3: K2 odłącza bez czekania na wynik testu

K1 i K2 stoją szeregowo w zasilaniu silnika. Operator otwiera osłonę, a sterowanie wydaje polecenie wyłączenia obu. Każdy stycznik ma własną drogę sterowania i każdy potrafi sam przerwać zasilanie napędu.

Zgrzany K1 pozostaje zamknięty. K2 otwiera zestyki i odcina prąd. Drugi kanał wykonuje zadanie ochronne mimo defektu pierwszego.

To zasadnicza różnica względem poprzedniego wariantu. Tam KT interweniował po wykryciu defektu przez test. Tutaj K2 otrzymuje polecenie wyłączenia dlatego, że osłona została otwarta. Nie musi czekać na diagnozę K1.

Kategoria 3: otwarcie osłony uruchamia osobne polecenia wyłączenia K1 i K2. K2 odłącza napęd mimo zgrzania K1. Diagnostyka osobno wykrywa defekt i blokuje ponowne załączenie. — Q1 i Q2 wyłączają cewki po otwarciu osłony. K1 pozostaje zgrzany, K2 otwiera obwód. Osobny pasek diagnostyki pokazuje brak potwierdzenia z K1 i blokadę kolejnego załączenia. Cyjan oznacza polecenia wyłączenia, linie przerywane — informację zwrotną.

Przenośnik stanął. Naprawa nadal jest potrzebna

Operator widzi taki sam efekt jak zawsze: taśma się zatrzymała. W szafie jeden stycznik już jednak nie działa. Diagnostyka wykrywa brak potwierdzenia otwarcia K1 i blokuje kolejne załączenie.

K2 wykonał zadanie za uszkodzony kanał. Nie naprawił go przy okazji. Gdyby sterowanie pozwalało pracować dalej z tym wykrytym uszkodzeniem, następne odłączenie zależałoby już tylko od K2.

Kategoria 3 wymaga zachowania podfunkcji po pojedynczym defekcie. Dotyczy to elementów i połączeń całego ocenianego podsystemu. Jeżeli jeden defekt sterowania potrafi utrzymać obie cewki pod napięciem, oba styczniki mogą bezbłędnie wykonywać niewłaściwe polecenie.

Kategoria 3 wymaga również co najmniej niskiego pokrycia diagnostycznego. Pojedynczy defekt ma zostać wykryty podczas przywołania funkcji lub przed następnym przywołaniem, gdy jest to uzasadnione praktycznie. Część defektów może pozostać niewykryta. Ich późniejsze nagromadzenie może odebrać ochronę — i właśnie w tym miejscu zaczyna się różnica względem kategorii 4.

Kategoria 3 może osiągnąć PL c, d albo e

Przy DCavg = 90% i MTTFD każdego kanału równym 10 lat wynik z tablicy K.1 to PL c. Przy 30 latach — PL d, przy 100 — PL e. „Kategoria 3, czyli PL d” jest więc wygodnym skrótem, który gubi dwie pozostałe możliwości.

Kategoria 3: wartości MTTFD, PFH i PL

Podsystem kategorii 3, DCavg = 90% — przykłady według tablicy K.1

MTTFD każdego kanału	PFH — średnia częstość uszkodzenia niebezpiecznego na godzinę	Osiągany PL
10 lat	1,36 × 10−6 1/h	PL c
30 lat	2,65 × 10−7 1/h	PL d
100 lat	4,29 × 10−8 1/h	PL e

Wartość MTTFD dotyczy każdego kanału osobno. Dwa kanały po 30 lat nie zamieniają się w kanał o MTTFD równym 60 lat. Obowiązują także wymagania kategorii B, wypróbowane zasady bezpieczeństwa i środki przeciw uszkodzeniom o wspólnej przyczynie.

K2 odłącza napęd mimo uszkodzenia K1. Diagnostyka rozstrzyga, czy układ może dostać zgodę na kolejny cykl.

Kategoria 4: problemem staje się także defekt, który umknął diagnostyce

Po zgrzaniu K1 napęd odłącza K2, a sterowanie blokuje kolejne załączenie. To samo zdarzyło się w poprzednim wariancie. Różnica między kategorią 3 a 4 ujawnia się przy szerszej analizie: co układ wykrywa, kiedy to robi i co stanie się z defektami, których nie wykrył?

W kategorii 4 pojedynczy defekt ma pozostawić funkcję sprawną i zostać wykryty podczas jej przywołania lub przed następnym przywołaniem. Jeżeli wykrycie w tym czasie jest niemożliwe, nagromadzenie defektów również ma pozostawić ochronę skuteczną.

Układ sprawdza również, czy potwierdzenie mówi prawdę

Każdy stycznik ma osobno nadzorowany zestyk lustrzany. Sterowanie kontroluje jego odpowiedź w całym cyklu:

Przed załączeniem oba styczniki są wyłączone. Ich zestyki lustrzane mają potwierdzić otwarcie torów mocy.
Po załączeniu stycznika jego potwierdzenie otwarcia ma zniknąć w wyznaczonym czasie.
Po wyłączeniu potwierdzenie ma wrócić. Przy zgrzanym K1 nie wraca. K2 odłącza napęd, a logika blokuje ponowne załączenie.

Kategoria 4: odłączenie przez K2 i kontrola zmian sygnału lustrzanego K1 podczas wyłączenia, załączenia i ponownego wyłączenia. — Napięcie cewki zmienia się 0 → 24 → 0 V, a oczekiwane potwierdzenie otwarcia — 1 → 0 → 1. Po zgrzaniu K1 ostatnie potwierdzenie nie wraca. K2 odłącza napęd, logika blokuje załączenie. Dla kategorii 4 wymagane DCavg wynosi co najmniej 99%.

Po co sprawdzać także zanik potwierdzenia? Dwa przewody zestyku lustrzanego mogą się zewrzeć. Wtedy sygnał stale mówi „K1 otwarty”, również gdy stycznik właśnie się załączył. Układ, który sprawdza tylko obecność tego sygnału przed startem, przyjąłby fałszywe potwierdzenie.

Kontrola zmian wykrywa sprzeczność: K1 dostał polecenie załączenia, a informacja „otwarty” pozostała. Sterowanie wyłącza wyjścia i blokuje pracę. Operator może naciskać reset, ale reset nie rozdzieli ani zwartych przewodów, ani zgrzanych zestyków.

Taką diagnostykę można zastosować także w kategorii 3. O kategorii 4 rozstrzyga zachowanie całego podsystemu wobec rozpatrywanych defektów i ich nagromadzenia. Projektant analizuje również obwody sterowania, informację zwrotną i skutki ich uszkodzeń.

Dwa zawory pokazują, dlaczego to ważne

V1 i V2 są zaworami gniazdowymi włączonymi szeregowo na dopływie oleju do siłownika. Każdy sam potrafi odciąć dopływ. Czujniki kontrolują położenie elementów zamykających.

W V1 uszkadza się uszczelnienie gniazda. Element zamykający dochodzi do pozycji „zamknięty”, ale przez uszkodzenie przecieka olej. Czujnik położenia nadal mówi prawdę. Sprawny V2 zatrzymuje przepływ, więc na maszynie nic się nie dzieje.

Później z niezależnej przyczyny zaczyna przeciekać V2. Przepływ przez oba zawory wystarcza do niebezpiecznego ruchu siłownika. Na ekranie nadal dwa potwierdzenia „zamknięty”. Bardzo zgodne ze sobą i zupełnie nieprzydatne do wykrycia tej awarii.

To nagromadzenie niewykrytych defektów, które może odebrać ochronę w kategorii 3. Dla kategorii 4 taki przebieg trzeba przerwać: wykryć istotny przeciek na czas albo zapewnić zachowanie funkcji przy rozpatrywanym nagromadzeniu defektów.

Test szczelności każdego zaworu osobno pozwala sprawdzić właśnie to, czego nie sprawdza czujnik położenia. Przykładowo przeciek podnosi ciśnienie w wydzielonej przestrzeni testowej za zaworem, odizolowanej od siłownika. Czujnik ciśnienia wykrywa wzrost, a układ blokuje dalszą pracę. Przy sprawdzaniu obu zaworów zamkniętych jednocześnie szczelny V2 mógłby ukryć nieszczelność V1.

Próg i czas testu muszą ujawniać przeciek istotny dla bezpieczeństwa, zanim powstanie zagrożenie. Projekt obejmuje też ciśnienie pozostałe za zaworami: odcięcie nowego dopływu pozostawia tam zgromadzoną energię.

99% ma wynikać z działania diagnostyki

Kategoria 4 wymaga wysokiego DCavg, co najmniej 99%, i wysokiego MTTFD każdego kanału. Te 99% odnosi się do częstości wykrywanych uszkodzeń niebezpiecznych. Wykrycie dziewięciu rzadkich rodzajów uszkodzeń i pominięcie jednego częstego może dać słaby wynik. Lista odhaczonych pozycji wygląda wtedy lepiej niż ochrona.

Przy DCavg = 99% tablica K.1 daje dla kategorii 4 PL e zarówno przy MTTFD kanału 30, jak i 100 lat. Różne PFH mieszczą się w tym samym poziomie.

Kategoria 4: wartości liczbowe i analiza nagromadzenia defektów

Podsystem kategorii 4, DCavg = 99% — przykłady według tablicy K.1

MTTFD każdego kanału	PFH — średnia częstość uszkodzenia niebezpiecznego na godzinę	Osiągany PL
30 lat	9,54 × 10−8 1/h	PL e
100 lat	2,47 × 10−8 1/h	PL e
2 500 lat	9,06 × 10−10 1/h	PL e

Dla kategorii 4 model dopuszcza MTTFD kanału do 2 500 lat. To parametr statystyczny. Zasady kategorii B, wypróbowane zasady bezpieczeństwa i środki przeciw wspólnym przyczynom uszkodzeń nadal obowiązują.

Punkt 6.1.3.2.6 wskazuje, że w praktyce może wystarczyć rozpatrzenie kombinacji dwóch defektów. Pominięcie niewykrytych uszkodzeń o bardzo niskim prawdopodobieństwie wymaga udokumentowanej i zweryfikowanej analizy, np. FMEA — analizy rodzajów i skutków uszkodzeń.

Diagnostyka ma sprawdzać zdolność wykonania zadania. Zawór może prawidłowo potwierdzać położenie i nadal przepuszczać olej.

Pięć kategorii, jeden zgrzany K1

W B i 1 zgrzanie K1 pozostawia silnik pod napięciem. W wariancie kategorii 2 odłączenie wykonuje KT po wykryciu defektu. W kategoriach 3 i 4 odłącza K2, który otrzymuje polecenie wraz z otwarciem osłony. Diagnostyka ujawnia uszkodzenie i blokuje kolejny cykl.

Kolejność reakcji po zgrzaniu K1 i otwarciu osłony: brak odłączenia w B i 1, odłączenie przez KT po teście w 2, odłączenie przez K2 w 3 i 4. — Ten sam defekt i to samo otwarcie osłony: w B i 1 silnik nadal pobiera prąd. W wariancie kategorii 2 odłącza KT po wykryciu defektu przez TE. W kategoriach 3 i 4 odłącza K2 po poleceniu wyłączenia. Diagnostyka blokuje ponowne załączenie.

Różnicę między 3 a 4 pokazuje dopiero dalsza analiza diagnostyki i nagromadzenia niewykrytych defektów. Dlatego podczas oceny układu sprawdza się także to, co wydarzy się po pierwszej udanej reakcji ochronnej.

Dwa styczniki mogą przegrać z tym samym zwarciem

Dotychczas K1 się psuł, a K2 ratował odłączenie. Za K2 dochodzi jednak do zwarcia. Prąd zwarciowy przepływa przez oba zamknięte styczniki i uszkadza oba. Drugi kanał właśnie spotkał tę samą przyczynę co pierwszy.

To CCF — uszkodzenie o wspólnej przyczynie. W kategoriach 3 i 4 dotyczy obu kanałów funkcjonalnych, a w kategorii 2 — kanału funkcjonalnego i testującego. Projektant ogranicza wspólne narażenia konkretnymi rozwiązaniami.

K2 zamyka się pierwszy i otwiera ostatni

Najpierw zamyka się K2. K1 jest jeszcze otwarty, więc prąd silnika nie płynie. Potem K1 zamyka obwód i załącza obciążenie. Podczas wyłączania kolejność jest odwrotna: K1 przerywa prąd, a K2 otwiera się chwilę później, już bez prądu obciążenia.

Oba przewodzą ten sam prąd podczas pracy. Różnią się warunki przełączania. K2 zwykle unika załączania prądu rozruchowego i przerywania obciążenia, co ogranicza zużycie elektryczne jego zestyków. Mechanizm nadal wykonuje każdy ruch — zużycie mechaniczne pozostaje.

K2 musi być dobrany także do samodzielnego przerwania pełnego obciążenia, bo po zgrzaniu K1 właśnie to zrobi. Jego wyłączenie ma nastąpić w ustalonym czasie, bez czekania na potwierdzenie z K1. Przy zgrzaniu takie potwierdzenie przecież nie nadejdzie. Opóźnienie i czasy aparatów muszą zmieścić się w wymaganym czasie reakcji funkcji.

Zabezpieczenie zwarciowe ma ograniczyć skutki wspólnego zdarzenia

Sekwencja przełączania różnicuje narażenia przy załączaniu i wyłączaniu. Podczas zwarcia, gdy oba styczniki są zamknięte, prąd obciąża oba. Zabezpieczenie F musi go przerwać, a o skutkach decydują wartość prądu i czas jego przepływu.

Zwarcie między fazami L1 i L2 przepuszcza prąd przez K1 i K2; wkładka F przerywa prąd, lecz zgrzane zestyki pozostają zamknięte. — Zwarcie między L1 i L2 za K2 obciąża oba styczniki prądem Ik. Wkładka topikowa F w L1 przerywa prąd zwarciowy. Zgrzane w tym czasie zestyki pozostają zamknięte.

Projektant ustala spodziewany prąd zwarciowy w miejscu montażu i sprawdza zestaw: konkretny stycznik, typ i prąd znamionowy zabezpieczenia, napięcie oraz warunki zastosowania. Dane producenta pozwalają dobrać ich współpracę. Sam prąd znamionowy silnika opisuje za mało.

Zgrzane podczas zwarcia zestyki mogą pozostać zamknięte także po zadziałaniu F. Bezpiecznik przerywa prąd. Usługi naprawy styczników nie ma w pakiecie. Przed powrotem do pracy trzeba sprawdzić oba aparaty i usunąć uszkodzenia.

Koordynacja typu 2 a zgrzanie zestyków

PN-EN IEC 60947-4-1:2019-05, pkt 8.2.5.1, dopuszcza możliwość zgrzania zestyków również przy koordynacji typu 2. Producent podaje odpowiednie działania dotyczące utrzymania. Zastosowanie innego zabezpieczenia niż zalecane może unieważnić koordynację.

Wspólna trasa, wspólny zasilacz, wspólne przegrzanie

Przewody obu cewek biegną jedną wiązką. Jej zgniecenie zwiera oba sterowania z +24 V. Oddzielne, chronione trasy i rozdzielone zaciski ograniczają możliwość objęcia obu kanałów jednym uszkodzeniem.
Wspólny zasilacz po defekcie podaje za wysokie napięcie. Projektant sprawdza jego zachowanie przy uszkodzeniu i stosuje odpowiednie ograniczenie napięcia lub ochronę zewnętrzną dla zasilanych obwodów.
Oba styczniki grzeją się nad falownikiem. Po awarii wentylatora temperatura przekracza dopuszczalną. Rozmieszczenie aparatów, odstępy i warunki chłodzenia trzeba dobrać także do takiego przypadku. Otwarta szafa podczas odbioru ma zwykle znakomitą wentylację.
Oba kanały biegną obok przewodów silnikowych falownika. Rozdzielenie tras, ekranowanie i połączenia wyrównawcze pomagają ograniczyć wspólny wpływ zakłóceń elektromagnetycznych. Odporność musi odpowiadać warunkom pracy urządzeń.

Załącznik F porządkuje ocenę w punktach. W tej metodzie potrzeba co najmniej 65 punktów za zastosowane środki. Przykładowo: rozdział kanałów 15, ochrona przed odpowiednimi przetężeniami i przepięciami 15, środki dotyczące zakłóceń elektromagnetycznych 25, pozostałe czynniki środowiskowe 10.

Taki wynik można uzasadnić także przy identycznych stycznikach. Zróżnicowanie konstrukcji, technik, obciążeń lub producentów daje do 20 punktów w jednej pozycji. Dwie różne marki na tym samym produkcie to nadal ten sam produkt. Punkty wymagają pełnego wdrożenia danej pozycji w ocenianym podsystemie; częściowe wdrożenie daje zero.

Drugi kanał pomaga wtedy, gdy wspólna przyczyna nie odbierze obu kanałom zdolności działania.

A gdzie są dwa kanały w czujniku, przekaźniku i PLC?

K1 i K2 łatwo wskazać palcem. W elektronice kanały mogą mieścić się w jednej obudowie. Norma opisuje strukturę logiczną; rozwiązania wewnętrzne konkretnego urządzenia określa jego producent.

Dwa czujniki przy jednej osłonie

Czujniki indukcyjne S1 i S2 wykrywają metalowy element zamkniętej osłony. Każdy podaje własny sygnał na osobne wejście sterowania. Do pracy potrzebne są dwa potwierdzenia „zamknięta”.

S1 psuje się i stale pokazuje „zamknięta”. Operator otwiera osłonę, metal odsuwa się od obu czujników. Sprawny S2 zmienia sygnał i sterowanie wydaje polecenie zatrzymania. Utrata jednego potwierdzenia wystarcza do reakcji.

Jeden czujnik bezpieczeństwa, dwa wyjścia OSSD

Indukcyjny czujnik bezpieczeństwa może mieć diagnostykę i dwa nadzorowane wyjścia elektroniczne OSSD (ang. Output Signal Switching Device — element przełączający sygnał wyjściowy). Po odsunięciu metalu oba wyjścia wyłączają się i przekazują do sterowania żądanie zatrzymania. Diagnostyka nadzoruje również ich zdolność do wyłączenia.

Zwykły czujnik może mieć dwa wyjścia działające inaczej: jeden układ elektroniczny wykrywa metal, a ten sam wynik steruje oboma wyjściami. Wyjście NO (ang. Normally Open — normalnie otwarte) załącza się po wykryciu metalu, a NC (ang. Normally Closed — normalnie zamknięte) wtedy się wyłącza.

Jeżeli elektronika błędnie rozpoznaje metal mimo otwartej osłony, oba wyjścia zachowują się dokładnie jak przy osłonie zamkniętej. Sprawdzenie ich przeciwnych stanów nie ujawni błędu. Sterowanie dostało dwie wersje tej samej pomyłki. Podobny skutek daje rozgałęzienie jednego sygnału na dwa wejścia.

Przekaźnik bezpieczeństwa i sterownik

W klasycznym przekaźniku bezpieczeństwa pracują dwa wewnętrzne przekaźniki R1 i R2. Ich zestyki zezwalające na pracę są połączone szeregowo. Gdy zestyk R1 się zgrzeje, R2 nadal otwiera wyjście. Mechanicznie sprzężone zestyki kontrolne pozwalają wykryć zgrzanie i zablokować ponowne załączenie.

PLC, czyli programowalny sterownik logiczny, w wykonaniu związanym z bezpieczeństwem może wykorzystywać dwa procesory i porównywanie wyników. Jeden błędnie wylicza zezwolenie na ruch, drugi — zatrzymanie. Rozbieżność uruchamia reakcję ochronną. Testy obejmują także pamięć, wykonywanie programu oraz wejścia i wyjścia.

Dwie kopie programu w zwykłym PLC mogą natomiast pracować na jednym procesorze. Jego uszkodzenie dotknie obu kopii. Skopiowanie kodu jest łatwiejsze od zbudowania odporności na defekty — i daje inny rezultat.

Kurtyna bezpieczeństwa

Operator przesłania wiązki między nadajnikiem a odbiornikiem. Kurtyna wyłącza OSSD1 i OSSD2. Jeżeli uszkodzone OSSD1 pozostaje załączone, wyłączenie OSSD2 nadal wystarcza współpracującemu sterowaniu do wydania polecenia zatrzymania.

Każde wyjście trafia na przeznaczone dla niego wejście. Diagnostyka obejmuje wyjścia i ich połączenia. W dokumentacji urządzeń projektant sprawdza osiągnięty PL, kategorię, czas reakcji i wymagane podłączenie. Dzięki temu wiadomo, jak wykorzystać właściwości gotowego podsystemu w konkretnej funkcji.

Ten sam PL, różne zachowanie po defekcie

Jeden projektant uzyskuje PL d w kategorii 2, drugi w kategorii 3. Obaj mogą mieć prawidłowe wyniki. Pierwszy zastosował bardziej niezawodny kanał z testowaniem, drugi dwa kanały funkcjonalne.

Dwie różne architektury, ten sam PL — porównanie modelowe

Kategoria	MTTFD kanału	DCavg	PFH [1/h]	PL
2	100 lat	90%	2,29 × 10−7	d
3	30 lat	90%	2,65 × 10−7	d

W kategorii 2 podane MTTFD dotyczy kanału funkcjonalnego. W kategorii 3 — każdego z dwóch kanałów. Oba PFH mieszczą się w przedziale PL d, ale kategoria 2 może utracić podfunkcję między testami, a kategoria 3 zachowuje ją po pojedynczym defekcie.

Jeżeli SRS albo norma typu C dla danej maszyny wymaga zachowania funkcji po pojedynczym defekcie, projektant musi zapewnić właśnie takie zachowanie. Sama litera d nie rozstrzyga wyboru.

Ta sama kategoria, lepsza diagnostyka

W kategorii 3 przy MTTFD każdego kanału 100 lat zmiana DCavg z 60% na 90% przesuwa wynik z PL d do PL e:

Kategoria 3 i MTTFD każdego kanału = 100 lat — zmienia się DCavg

DCavg	PFH [1/h]	PL
60%	1,01 × 10−7	d
90%	4,29 × 10−8	e

Wyższe pokrycie diagnostyczne musi wynikać ze skuteczniejszego wykrywania uszkodzeń i odpowiedniej reakcji. Kontrola zmian sygnału zwrotnego potrafi ujawnić zwarcie, które stale potwierdza otwarcie stycznika. Takie rozwiązania zmieniają działanie układu. Przestawienie pola z 60 na 90% w programie obliczeniowym zmienia na razie tylko wydruk.

Trzy porównania z tablicy K.1: wpływ MTTFD, osobne warianty kategorii 2 i 3 z PL d oraz wpływ DCavg na wynik kategorii 3. — U góry: wpływ MTTFD na PL kategorii 3. Pośrodku: PL d uzyskany w kategorii 2 i 3. Na dole: wpływ DCavg na PL kategorii 3. MTTFD podano w latach (a — rok); dla kategorii 2 dotyczy kanału funkcjonalnego, dla kategorii 3 — każdego kanału. Dane: tablica K.1 normy.

Założenia przykładów liczbowych z tablicy K.1

Wartości pochodzą z modeli podsystemów normy PN-EN ISO 13849-1:2023-09. Metoda z pkt 6.1.8 przyjmuje 20 lat przewidywanego użytkowania, stałe intensywności uszkodzeń i odpowiednie środki przeciw CCF. Dla elementów zużywających się wcześniej trzeba uwzględnić ich ograniczenia użytkowania.

W kategorii 2 obowiązują również wymagania kanału testującego oraz częstości testów lub czasu reakcji przy przywołaniu. Dla testowania okresowego pokazane PFH odpowiadają stosunkowi częstości testów do przywołań co najmniej 100:1. Uwaga 1 do tablicy K.1 podaje oszacowanie dla stosunku co najmniej 25:1 przez pomnożenie tabelarycznego PFH przez 1,1. Wartości tabelaryczne dla niskiego, średniego i wysokiego DCavg obliczono odpowiednio przy 60%, 90% i 99%.

PL określa poziom skuteczności. Kategoria pozwala zrozumieć, jak układ radzi sobie z defektami. Do wyboru rozwiązania potrzebne są obie informacje.

Styczniki gotowe do odłączenia. Tylko polecenie nie przyszło

Podsystem K1–K2 osiąga PL e. Czujnik osłony błędnie informuje jednak logikę, że drzwi są zamknięte. Sterowanie zezwala na ruch, więc oba styczniki pozostają załączone. Mogą być sprawne i doskonale nadzorowane. Problem powstał wcześniej, na wejściu funkcji.

Dlatego projektant ocenia cały łańcuch: wejście → logika → wyjście, wraz z połączeniami. Dla takiej szeregowej kombinacji podsystemów o znanych PFH sumuje ich wartości. PL całości ogranicza wynik sumowania oraz najniższy PL któregoś z podsystemów.

Trzy podsystemy po 4 × 10−8 1/h dają łącznie 1,2 × 10−7 1/h — PL d. Każdy osobno mieścił się w PL e. Rachunek jest prosty: cała funkcja ma więcej miejsc, w których może niebezpiecznie zawieść. Szczegóły opisuje artykuł o obliczaniu PL według ISO 13849-1.

Po odłączeniu zasilania taśma potrzebuje jeszcze czasu na wyhamowanie. Ochrona musi zadziałać przed dostępem człowieka do zagrożenia. Ten związek dobrze pokazuje przypadek odległości kurtyny bezpieczeństwa po zmianie czasu reakcji. Przy łączeniu podsystemów ocenionych różnymi metodami przydaje się także porównanie ISO 13849-1 i IEC 62061.

Po kilku latach ktoś wymieni K1

Nowy stycznik ma taki sam prąd znamionowy i pasuje na szynę. Serwisant potrzebuje jeszcze właściwego zestyku lustrzanego, odpowiednich czasów działania i danych o trwałości. Te cechy były częścią projektu. Zapis „24 V, tyle samo amperów” pomija akurat to, czego potrzebuje diagnostyka.

Dokumentacja pozwala odtworzyć, dlaczego wybrano aparat, co układ kontroluje i jak reaguje na defekt. Bez tego pozostaje telefon do autora programu i nadzieja, że pamięta powód każdego warunku. Tak uzasadnienie projektu staje się zależne od pamięci jednej osoby.

Fragment karty OUT-01 — założenia przykładu K1–K2

Pole	Zapis
Zakres	Podsystem wyjściowy K1–K2 z połączeniami i nadzorowaniem; zadanie: odcięcie zasilania napędu.
Rozpatrywany defekt	K1 pozostaje zamknięty mimo polecenia wyłączenia.
Wymagana reakcja	K2 samodzielnie odłącza napęd. Brak powrotu sygnału zwrotnego K1 ujawnia defekt i blokuje ponowne załączenie.
Dowód do uzyskania	Analiza defektów oraz próba T-01: sprawdzenie odłączenia przez K2, czasu reakcji, wykrycia i blokady. Wynik należy zapisać dla konkretnej wersji układu.

Pełna karta wiąże taki zapis z SRS, wersją schematu, podstawami MTTFD, DCavg, CCF oraz wynikami walidacji. Uzasadnia także zastosowane wykluczenia defektów. Pobierz kartę uzasadnienia kategorii (PDF, EN): przykład K1–K2 oraz formularz do własnego projektu w jednym pliku, z polami do wypełnienia na komputerze.

Menedżer nie musi sam wyliczać PFH. Może poprosić dostawcę o pokazanie jednego defektu na schemacie: co się psuje, co nadal chroni człowieka, kiedy sterowanie zauważa problem i gdzie jest wynik sprawdzenia.

To prowadzi do znacznie lepszej rozmowy niż pytanie o markę przekaźnika. Dwa styczniki to pozycja na liście zakupowej. Dopiero ich działanie, diagnostyka i uzasadnienie projektu pozwalają przypisać kategorię.

Źródła

Przykłady przenośnika, styczników i zaworów służą objaśnieniu wymagań. Wartości PFH i odpowiadające im PL pochodzą z tablicy K.1 wskazanej poniżej.

PN-EN ISO 13849-1:2023-09: pkt 4.5, 5.1, 5.2.1 i 5.3–5.5 — informacje z oceny ryzyka, SRS, PLr i podział na podsystemy; definicje 3.1.45–3.1.47 oraz pkt 6.1.3.1–6.1.3.2.1 — podsystem, kanał i architektury.
PN-EN ISO 13849-1:2023-09: pkt 6.1.3.2.2–6.1.3.2.6 — wymagania kategorii B–4, reakcja na defekty, testowanie i nagromadzenie defektów; definicje 3.1.49–3.1.50 oraz pkt 6.1.11 — wypróbowane zasady bezpieczeństwa i komponenty.
PN-EN ISO 13849-1:2023-09: tablice 2, 6 i 7, pkt 6.1.4–6.1.5, 6.1.8, załączniki C–E oraz tablica K.1 z uwagami 1–2 — PL, PFH, MTTFD, DC, dane o trwałości, liczba przełączeń i założenia modeli liczbowych.
PN-EN ISO 13849-1:2023-09: pkt 6.1.6, załącznik F i tablica F.1 — CCF, środki ograniczające wspólne narażenia, punktowa ocena i próg 65 punktów; F.3.2 — zróżnicowanie; F.3.3 i F.3.6 — zabezpieczenia, zakłócenia i środowisko pracy.
PN-EN IEC 60947-4-1:2019-05: pkt 8.2.5.1 — współpraca styczników z zabezpieczeniami zwarciowymi i koordynacja typu 2; pkt 8.2.4.3.1–8.2.4.3.2 i załącznik B — trwałość mechaniczna i elektryczna; załącznik F — właściwości i identyfikacja zestyków lustrzanych.
PN-EN ISO 13849-1:2023-09: pkt 6.1.10, definicje 3.1.29–3.1.30 i 3.1.51–3.1.52, załącznik E, tablica E.1 — analiza defektów, monitorowanie, testowanie i sprawdzanie wiarygodności; rozdział 7 i załącznik N — oprogramowanie i uprzednio ocenione platformy; pkt 13.2 — informacje do integracji.
PN-EN ISO 4413:2011: pkt 5.4.4.1 — szczelność i przydatność zaworów do zastosowania związanego z bezpieczeństwem; pkt 5.4.7.1–5.4.7.2.1 — niezamierzony ruch, izolowanie energii i rozpraszanie ciśnienia.
PN-EN ISO 13849-1:2023-09: pkt 6.2.2 i rozdział 8 — kombinacja podsystemów, suma PFH i ograniczenia osiągniętego PL; pkt 5.2.2.2 — zatrzymywanie; pkt 10.1.1–10.1.2, 10.8 i rozdział 12 — walidacja, protokoły i dokumentacja techniczna.