„Dva stýkače a bezpečnostné relé, teda kategória 3.“ V rozvádzači všetko sedí. V nákupnom zozname tiež. Až zvarený stýkač ukáže, koľko z tohto poriadku zostane v reálnej prevádzke.
Obsluha otvorí ochranný kryt dopravníka. Riadenie vypne cievku K1, ale jeho kontakty sú zvarené. Motor zostáva napájaný. Príkaz bol správny. Stýkač ho jednoducho nevykonal. Druhý stýkač môže zachrániť odpojenie. Diagnostika môže odhaliť poruchu a zablokovať ďalší rozbeh. Všetko závisí od toho, ako projektant systém skutočne postavil.
Kategórie bezpečnosti podľa ISO 13849-1 opisujú odolnosť subsystému proti poruchám a jeho správanie po ich vzniku. Rozdiel medzi B, 1, 2, 3 a 4 najlepšie uvidíme na rovnakej úlohe: odpojiť napájanie pohonu aj vtedy, keď niečo zlyhá. Pri preberaní vyzerá dobre každý funkčný systém. Kategória sa ukáže až vtedy, keď systém funkčný prestane byť.
Najprv úloha, potom prístroje v rozvádzači
Obsluha potrebuje upraviť výrobok. Pás sa musí zastaviť ešte pred prístupom k nebezpečnému miestu a počas práce pri otvorenom kryte musí zostať zastavený. Projektant tieto požiadavky odvodí z posúdenia rizika podľa ISO 12100 a potom ich zapíše do špecifikácie bezpečnostných požiadaviek — SRS.
Celá bezpečnostná funkcia zahŕňa zistenie otvorenia krytu, rozhodnutie riadenia a odpojenie pohonu. Každú časť možno vyčleniť ako subsystém. V nasledujúcich variantoch meníme výstupný subsystém: stýkače, ich zapojenie a monitorovanie. Jeho úlohou, teda čiastkovou funkciou, je odpojenie napájania pohonu.
Stýkač funguje ako elektricky ovládaný spínač. Napätie na cievke zatvorí výkonové kontakty, cez ktoré tečie prúd do motora. Keď napätie cievky zmizne, funkčný prístroj kontakty otvorí. Zvarenie kontaktov mu vezme práve túto schopnosť.
Pri dvoch stýkačoch K1 a K2 prechádza prúd motora postupne cez oba. Otvorenie ktoréhokoľvek z nich preruší obvod. Každý stýkač spolu so svojím riadením vytvára samostatnú cestu odpojenia, teda kanál.
Kategória B: K1 sa zvaril. Napájanie zostáva
Pohon odpája jediný stýkač K1. Po otvorení krytu riadenie vypne cievku, kontakty sa otvoria a motor stratí napájanie. Takto môže prebehnúť tisíce cyklov. Pri ďalšom zapnutí sa však kontakty zvaria. Dopravník pracuje ďalej, takže obsluha zatiaľ nič nespozoruje.
Potom otvorí kryt. Napätie cievky zmizne, ale prúd do motora stále tečie. V systéme nie je druhý prvok, ktorý by ho prerušil. Jedna porucha pripravila subsystém o schopnosť odpojiť pohon.
Keby sa namiesto zvarenia prerušil vodič cievky, funkčný stýkač by odpadol. To je iná porucha s iným následkom. Tvrdenie „pri poruche stýkač odpadne“ funguje výborne, pokiaľ si autor sám vyberá, o akú poruchu pôjde.
Kategória B vyžaduje základné bezpečnostné zásady a výber prvkov podľa reálnych podmienok. Stýkač musí zvládnuť zaťaženie, počet zopnutí aj teplotu v rozvádzači. Písmeno B nie je súhlas na montáž toho, čo práve zostalo v sklade.
Kedy kategória B dosiahne PL a a kedy PL b?
Dva navonok rovnaké systémy sa môžu líšiť početnosťou nebezpečných porúch. Jeden stýkač zapína motor raz za zmenu. Druhý pri každom výrobku. Rovnaký model, úplne iný počet zopnutí.
Projektant zohľadňuje životnosť prístroja aj skutočný režim stroja. Určí MTTFD — stredný čas do nebezpečnej poruchy. Čím je hodnota vyššia, tým zriedkavejšie sa také poruchy štatisticky vyskytujú. Pre kanál treba zahrnúť všetky prvky, ktorých porucha môže odstrániť jeho schopnosť odpojiť pohon.
| MTTFD kanála | PFH — stredná frekvencia nebezpečnej poruchy za hodinu | Dosiahnutý PL |
|---|---|---|
| 10 rokov | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 rokov | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 rokov | 5,71 × 10⁻⁶ 1/h | PL b |
Pri 10 rokoch je výsledkom PL a, pri 12 rokoch už PL b. PFH klesne pod hranicu 10⁻⁵ 1/h. Zmenila sa spoľahlivosť. Po zvarení stýkača sa však oba systémy zachovajú rovnako.
MTTFD je štatistický parameter. „20 rokov“ vo výpočte neznamená dvadsaťročnú záruku ani automatický termín výmeny. Ten sa stanovuje podľa podmienok a obmedzení používania prístroja.
Uvedené hodnoty patria výstupnému subsystému. V celej funkcii sa pripočíta PFH snímača a logiky: PFH vstupu + PFH logiky + PFH výstupu. Súčet sa porovná s rozsahmi PL a navyše ho obmedzuje najnižší PL niektorého subsystému. Výstup s PL b tak môže po spojení so zvyškom vytvoriť funkciu iba s PL a.
Kategória B môže dosiahnuť najviac PL b. Ak je požadovaný PLr d, treba inú architektúru. Ďalšie úspešné otvorenie krytu pri preberaní túto hranicu neposunie. Keď sa K1 zvarí, jediný kanál je preč.
Kategória 1: rovnaký problém má nastať zriedkavejšie
Pohon stále odpája jediný K1. Projektant však zvýši požiadavky na jeho spoľahlivosť a spôsob použitia. Okrem zásad kategórie B použije osvedčené komponenty a osvedčené bezpečnostné zásady. MTTFD kanála musí byť vysoký: pri zjednodušenej metóde od 30 do 100 rokov.
„Osvedčený“ sa vždy viaže na konkrétne pracovné podmienky. Prístroj roky bez problémov spínal ohrievače, no teraz dostane motor s vysokým rozbehovým prúdom a častým zapínaním. Logo zostalo známe. Zaťaženie už nie.
Výber sa opiera o zdokumentované skúsenosti z podobných použití alebo o vlastnosti preukázané konštrukciou, overením a validáciou podľa príslušných noriem. ISO 13849-2 uvádza aj komponenty a podmienky, za ktorých ich možno považovať za osvedčené.
A potom sa K1 predsa len zvarí. Cievka sa vypne, kontakty zostanú zatvorené a motor zostáva napájaný. Kategória 1 znižuje pravdepodobnosť tejto udalosti. Druhý kanál tým nevznikne.
Vyššia spoľahlivosť: od PL b po PL c
Pri MTTFD kanála 30 rokov dáva tabuľka K.1 výsledok PL b. Pri 39 rokoch klesne PFH pod 3 × 10⁻⁶ 1/h a výsledok prejde do PL c.
| MTTFD kanála | PFH — stredná frekvencia nebezpečnej poruchy za hodinu | Dosiahnutý PL |
|---|---|---|
| 30 rokov | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 rokov | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 rokov | 1,14 × 10⁻⁶ 1/h | PL c |
Strop kategórie 1 je PL c. Lepší prístroj zlyháva zriedkavejšie. Keď však zlyhá zvarením kontaktov, druhá cesta odpojenia neexistuje. Ochrana stojí na vyššej spoľahlivosti jediného kanála.
Kategória 2: systém kontroluje, či K1 vykonal príkaz
Obsluha otvorí kryt. Riadenie vypne K1 a čaká na potvrdenie otvorenia jeho kontaktov. Tentoraz sa vykonanie príkazu kontroluje.
Informáciu poskytuje zrkadlový kontakt stýkača. Jeho konštrukcia nedovolí zatvorenie, keď výkonový kontakt zostal zvarený. Systém teda dostane spätnú väzbu: K1 obvod otvoril alebo príkaz nevykonal.
K1 sa zvaril. Potvrdenie sa nevráti. Skúška odhalí poruchu a spustí reakciu. V tomto variante prídavný stýkač KT, zapojený sériovo s K1, odpojí napájanie. Riadenie zablokuje ďalšie zapnutie až do odstránenia poruchy.
V norme je skúšobné zariadenie označené TE a jeho výstup OTE. Tu OTE ovláda KT. K1 patrí do funkčného kanála, ktorý vykonáva bežné odpojenie. TE a OTE tvoria skúšobný kanál: kontrolujú splnenie úlohy a pri poruche spustia reakciu.
V rozvádzači sú dva stýkače, ale stále ide o príklad kategórie 2. KT dostane úlohu odpojiť až po zistení problému s K1. Už tu počítanie prístrojov prehráva s čítaním schémy.
Včera funkčný. Pri dnešnom zapnutí už zvarený
K1 úspešne prejde skúškou. Pri nasledujúcom zapnutí sa jeho kontakty zvaria. Až do ďalšej kontroly je funkčný kanál chybný. Predchádzajúci výsledok skúšky nič nezakrýval — stroj sa jednoducho stihol odvtedy pokaziť.
Kategória 2 preto môže medzi skúškami stratiť čiastkovú funkciu. Projektant musí určiť, kedy sa skúška vykoná a ako rýchlo systém zareaguje. Ak sa kontrola začne pri otvorení krytu, zistenie poruchy, vypnutie KT a zastavenie pohybu musia prebehnúť skôr, než človek dosiahne nebezpečný priestor.
Pri požadovanom PLr d musí OTE vyvolať stav zaisťujúci bezpečnosť a udržať ho až do odstránenia poruchy. Tu to robí KT. Samotné červené hlásenie na obrazovke by nechalo motor pod napätím. Obsluhe by iba veľmi zrozumiteľne oznámilo, prečo ochrana nefunguje.
Frekvencia skúšok a reakčný čas podľa normy. Bod 6.1.3.2.4 požaduje frekvenciu skúšok najmenej 100-krát vyššiu než frekvencia vyžiadaní funkcie alebo skúšku okamžite pri vyžiadaní, pričom porucha musí byť odhalená a stroj uvedený do bezpečného stavu ešte pred dosiahnutím nebezpečného priestoru. Otvorenie krytu je v tomto prípade vyžiadaním funkcie. Pomer 100:1 neznamená sto skúšok pred každým otvorením krytu.
MTTFD skúšobného kanála TE–OTE musí byť vyšší než polovica MTTFD funkčného kanála. Každá časť funkčného kanála potrebuje najmenej nízke diagnostické pokrytie. Platia zásady kategórie B, osvedčené bezpečnostné zásady a opatrenia proti poruche so spoločnou príčinou oboch kanálov.
Pre PLr najviac c má OTE tiež vyvolať bezpečný stav, ak je to realizovateľné. Ak to možné nie je, norma pripúšťa, že môže postačovať výstraha. Pri PLr d je bezpečná reakcia povinná.
Skúšanie môže priniesť PL d. Rozhoduje aj spoľahlivosť
DC, teda diagnostické pokrytie, opisuje účinnosť odhaľovania nebezpečných porúch. Pre celý subsystém sa určuje priemerné diagnostické pokrytie DCavg, ktoré zohľadňuje frekvencie takých porúch v jednotlivých častiach.
Pri rovnakom DCavg = 90% dáva kategória 2 podľa tabuľky K.1 PL a pri MTTFD funkčného kanála 3 roky, PL b pri 10 rokoch, PL c pri 30 rokoch a PL d pri 100 rokoch. Skúška je prítomná vo všetkých variantoch. Mení sa početnosť porúch, s ktorými sa musí vyrovnať.
| MTTFD funkčného kanála | PFH — stredná frekvencia nebezpečnej poruchy za hodinu | Dosiahnutý PL |
|---|---|---|
| 3 roky | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 rokov | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 rokov | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 rokov | 2,29 × 10⁻⁷ 1/h | PL d |
V kategórii 2 ochrana závisí od toho, či skúška poruchu odhalí a či systém stihne zareagovať. Čas kontroly nie je detail programu. Je súčasťou bezpečnostného návrhu.
Kategória 3: K2 odpojí bez čakania na výsledok skúšky
K1 a K2 sú zapojené sériovo v napájaní motora. Obsluha otvorí kryt a riadenie vydá príkaz na vypnutie oboch. Každý stýkač má vlastnú riadiacu cestu a každý dokáže sám prerušiť napájanie pohonu.
Zvarený K1 zostáva zatvorený. K2 otvorí kontakty a prúd odpojí. Druhý kanál splní ochrannú úlohu napriek poruche prvého.
To je zásadný rozdiel oproti predchádzajúcemu variantu. Tam KT zasiahol až po odhalení poruchy skúškou. Tu K2 dostáva príkaz na vypnutie preto, že bol otvorený kryt. Na diagnózu K1 čakať nemusí.
Dopravník stojí. Oprava je stále potrebná
Obsluha vidí bežný výsledok: pás sa zastavil. V rozvádzači však jeden stýkač už nefunguje. Diagnostika odhalí chýbajúce potvrdenie otvorenia K1 a zablokuje ďalšie zapnutie.
K2 vykonal úlohu namiesto chybného kanála. Neopravil ho. Keby riadenie dovolilo pokračovať s odhalenou poruchou, ďalšie odpojenie by záviselo už iba od K2.
Kategória 3 vyžaduje zachovanie čiastkovej funkcie po jednej poruche. Platí to pre prvky aj spoje celého posudzovaného subsystému. Ak jediná porucha riadenia dokáže ponechať obe cievky pod napätím, oba stýkače môžu bezchybne vykonávať nesprávny príkaz.
Vyžaduje sa najmenej nízke diagnostické pokrytie. Jedna porucha sa má odhaliť pri vyžiadaní funkcie alebo pred nasledujúcim vyžiadaním, ak je to prakticky odôvodnené. Niektoré poruchy môžu zostať neodhalené. Ich neskoršie nahromadenie môže ochranu odstrániť — a práve tu sa začína rozdiel oproti kategórii 4.
Kategória 3 môže dosiahnuť PL c, d alebo e
Pri DCavg = 90% a MTTFD každého kanála 10 rokov vychádza podľa tabuľky K.1 PL c. Pri 30 rokoch PL d a pri 100 rokoch PL e. Skratka „kategória 3 znamená PL d“ pohodlne zahadzuje dve ďalšie možnosti.
| MTTFD každého kanála | PFH — stredná frekvencia nebezpečnej poruchy za hodinu | Dosiahnutý PL |
|---|---|---|
| 10 rokov | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 rokov | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 rokov | 4,29 × 10⁻⁸ 1/h | PL e |
MTTFD sa týka každého kanála samostatne. Dva kanály po 30 rokov sa nezmenia na jeden kanál s MTTFD 60 rokov. Platia aj požiadavky kategórie B, osvedčené bezpečnostné zásady a opatrenia proti poruche so spoločnou príčinou.
K2 odpojí pohon napriek poruche K1. Diagnostika potom rozhodne, či systém dostane povolenie na ďalší cyklus. Druhý kanál zachránil zastavenie, nie ďalšiu výrobu.
Kategória 4: problémom je aj porucha uniknutá diagnostike
Po zvarení K1 odpojí pohon K2 a riadenie zablokuje ďalšie zapnutie. To isté sa stalo v kategórii 3. Rozdiel sa ukáže až pri širšej analýze: čo systém odhaľuje, kedy to odhaľuje a čo sa stane s poruchami, ktoré diagnostike uniknú?
V kategórii 4 musí jedna porucha ponechať funkciu účinnú a musí byť odhalená pri jej vyžiadaní alebo pred nasledujúcim vyžiadaním. Ak ju v tomto čase odhaliť nemožno, ani nahromadenie porúch nesmie odstrániť ochranu.
Systém kontroluje aj to, či potvrdenie hovorí pravdu
Každý stýkač má samostatne monitorovaný zrkadlový kontakt. Riadenie kontroluje jeho odozvu počas celého cyklu:
- Pred zapnutím sú oba stýkače vypnuté. Zrkadlové kontakty musia potvrdiť otvorenie výkonových ciest.
- Po zapnutí stýkača musí potvrdenie otvorenia v určenom čase zmiznúť.
- Po vypnutí sa musí potvrdenie vrátiť.
- Pri zvarenom K1 sa nevráti. K2 odpojí pohon a logika zablokuje opätovné zapnutie.
Pre kategóriu 4 sa vyžaduje DCavg najmenej 99%. Prečo kontrolovať aj zánik potvrdenia? Dva vodiče zrkadlového kontaktu sa môžu skratovať. Signál potom stále tvrdí „K1 otvorený“, aj keď sa stýkač práve zapol.
Systém, ktorý kontroluje iba prítomnosť signálu pred štartom, by prijal falošné potvrdenie. Kontrola zmien odhalí rozpor: K1 dostal príkaz na zapnutie, ale informácia „otvorený“ zostala. Riadenie vypne výstupy a zablokuje prevádzku. Obsluha môže stláčať reset, no reset neoddelí skratované vodiče ani zvarené kontakty.
Taká diagnostika sa dá použiť aj v kategórii 3. O kategórii 4 rozhoduje správanie celého subsystému voči uvažovaným poruchám a ich nahromadeniu. Projektant analyzuje aj riadiace obvody, spätnú väzbu a následky ich porúch.
Dva ventily ukazujú, prečo na tom záleží
V1 a V2 sú sedlové ventily zapojené sériovo na prívode oleja do valca. Každý sám dokáže prívod uzatvoriť. Snímače kontrolujú polohu uzatváracích prvkov.
Vo V1 sa poškodí tesnenie sedla. Uzatvárací prvok dôjde do polohy „zatvorený“, ale cez poškodenie uniká olej. Snímač polohy stále hovorí pravdu. Funkčný V2 prietok zastaví, takže na stroji sa nič nestane.
Neskôr začne z nezávislej príčiny prepúšťať aj V2. Prietok cez oba ventily už stačí na nebezpečný pohyb valca. Na obrazovke pritom stále svietia dve potvrdenia „zatvorený“. Dokonale sa zhodujú a pri odhaľovaní tejto poruchy sú úplne nanič.
Ide o nahromadenie neodhalených porúch, ktoré môže v kategórii 3 odstrániť ochranu. Pri kategórii 4 treba takýto priebeh prerušiť: významný únik včas odhaliť alebo zaistiť zachovanie funkcie aj pri posudzovanom nahromadení porúch.
Samostatná skúška tesnosti každého ventilu overuje presne to, čo snímač polohy nekontroluje. Únik môže napríklad zvýšiť tlak v oddelenom skúšobnom priestore za ventilom, izolovanom od valca. Snímač tlaku zachytí nárast a systém zablokuje ďalšiu prevádzku.
Pri súčasnej kontrole oboch zatvorených ventilov by tesný V2 mohol skryť netesnosť V1. Prah a čas skúšky preto musia odhaliť bezpečnostne významný únik skôr, než vznikne nebezpečenstvo. Návrh musí riešiť aj zvyškový tlak za ventilmi: uzavretie nového prívodu neodstráni už nahromadenú energiu.
Hodnota 99% musí vychádzať z reálnej diagnostiky
Kategória 4 vyžaduje vysoké DCavg, najmenej 99%, a vysoké MTTFD každého kanála. Týchto 99% sa vzťahuje na frekvenciu odhalených nebezpečných porúch. Odhalenie deviatich vzácnych druhov porúch a prehliadnutie jednej častej môže dať slabý výsledok. Zoznam zaškrtnutých položiek potom vyzerá lepšie než samotná ochrana.
Pri DCavg = 99% dáva tabuľka K.1 pre kategóriu 4 PL e pri MTTFD kanála 30 aj 100 rokov. Rozdielne PFH sa zmestia do rovnakého úrovňového pásma.
| MTTFD každého kanála | PFH — stredná frekvencia nebezpečnej poruchy za hodinu | Dosiahnutý PL |
|---|---|---|
| 30 rokov | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 rokov | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 rokov | 9,06 × 10⁻¹⁰ 1/h | PL e |
Model kategórie 4 pripúšťa MTTFD kanála až 2 500 rokov. Stále ide o štatistický parameter. Naďalej platia zásady kategórie B, osvedčené bezpečnostné zásady a opatrenia proti poruchám so spoločnou príčinou.
Bod 6.1.3.2.6 uvádza, že v praxi môže postačovať posúdenie kombinácie dvoch porúch. Vynechanie neodhalených porúch s veľmi nízkou pravdepodobnosťou si vyžaduje zdokumentovanú a overenú analýzu, napríklad FMEA — analýzu druhov a následkov porúch.
Diagnostika musí kontrolovať schopnosť vykonať úlohu. Ventil môže správne potvrdiť polohu a napriek tomu prepúšťať olej. Pravdivý signál ešte nemusí dokazovať funkčný bezpečnostný účinok.
Päť kategórií, jeden zvarený K1
V kategóriách B a 1 nechá zvarenie K1 motor pod napätím. V kategórii 2 vykoná odpojenie KT po tom, čo TE odhalí poruchu. V kategóriách 3 a 4 odpojí K2, ktorý dostal príkaz súčasne s otvorením krytu. Diagnostika odhalí poškodenie a zablokuje ďalší cyklus.
Preto sa pri posudzovaní nekončí pri prvej úspešnej ochrannej reakcii. Treba zistiť aj to, čo sa stane potom.
Dva stýkače môžu prehrať s rovnakým skratom
Doteraz sa pokazil K1 a K2 zachránil odpojenie. Za K2 však vznikne skrat. Skratový prúd prejde cez oba zatvorené stýkače a poškodí ich. Druhý kanál práve stretol rovnakú príčinu ako prvý.
Ide o CCF — poruchu so spoločnou príčinou. V kategóriách 3 a 4 sa týka oboch funkčných kanálov, v kategórii 2 funkčného a skúšobného kanála. Projektant musí spoločné vystavenie obmedziť konkrétnymi opatreniami.
K2 sa zatvára prvý a otvára posledný
Najprv sa zatvorí K2. K1 je ešte otvorený, takže prúd motora netečie. Potom K1 uzavrie obvod a zapne zaťaženie. Pri vypínaní je poradie opačné: K1 preruší prúd a K2 sa otvorí o chvíľu neskôr, už bez prúdu zaťaženia.
Počas prevádzky vedú oba rovnaký prúd. Líšia sa podmienky spínania. K2 sa zvyčajne vyhne zapínaniu rozbehového prúdu a vypínaniu zaťaženia, čím sa obmedzí elektrické opotrebovanie jeho kontaktov. Mechanizmus však stále vykoná každý pohyb, takže mechanické opotrebovanie zostáva.
K2 musí byť dimenzovaný aj na samostatné prerušenie plného zaťaženia, pretože po zvarení K1 presne to urobí. Musí sa vypnúť v stanovenom čase bez čakania na potvrdenie K1. Pri zvarení by také potvrdenie neprišlo. Oneskorenie a časy prístrojov sa musia zmestiť do požadovaného reakčného času funkcie.
Skratová ochrana má obmedziť následky spoločnej udalosti
Sekvencia spínania odlišuje namáhanie pri zapnutí a vypnutí. Počas skratu, keď sú oba stýkače zatvorené, zaťažuje prúd oba. Ochranný prvok F ho musí prerušiť a o následkoch rozhoduje hodnota prúdu a čas jeho toku.
Projektant určí predpokladaný skratový prúd v mieste montáže a overí celú zostavu: konkrétny stýkač, typ a menovitý prúd ochrany, napätie a podmienky použitia. Údaje výrobcu určujú prípustnú koordináciu. Samotný menovitý prúd motora hovorí príliš málo.
Po pôsobení F môžu zvarené kontakty zostať zatvorené. Poistka prerušila prúd. Opravu stýkačov nemá v balení. Pred návratom do prevádzky treba skontrolovať oba prístroje a poškodenia odstrániť.
Koordinácia typu 2 a zvarenie kontaktov. IEC 60947-4-1:2019-05, bod 8.2.5.1, pripúšťa možnosť zvarenia kontaktov aj pri koordinácii typu 2. Výrobca určuje príslušné úkony údržby. Použitie inej ochrany, než bola odporúčaná, môže koordináciu zneplatniť.
Spoločná trasa, spoločný zdroj, spoločné prehriatie
Vodiče oboch cievok vedú v jednom zväzku. Jeho stlačenie skratuje obe riadenia na +24 V. Oddelené chránené trasy a oddelené svorky obmedzujú možnosť, že jedna porucha zasiahne oba kanály.
Spoločný napájací zdroj po poruche dodáva príliš vysoké napätie. Projektant preverí jeho správanie pri poruche a použije primerané obmedzenie napätia alebo vonkajšiu ochranu napájaných obvodov.
Oba stýkače sa zahrievajú nad frekvenčným meničom. Po poruche ventilátora teplota prekročí povolenú hodnotu. Rozmiestnenie prístrojov, odstupy a chladenie treba navrhnúť aj pre tento stav. Otvorený rozvádzač pri preberaní má zvyčajne výborné vetranie. Zatvorený rozvádzač v júli už nemusí.
Oba kanály vedú vedľa motorových káblov meniča. Oddelenie trás, tienenie a ekvipotenciálne pospájanie pomáhajú obmedziť spoločný vplyv elektromagnetického rušenia. Odolnosť musí zodpovedať reálnym pracovným podmienkam.
Príloha F usporadúva hodnotenie do bodov. Metóda vyžaduje najmenej 65 bodov za použité opatrenia. Napríklad oddelenie kanálov 15, ochrana proti príslušným nadprúdom a prepätiam 15, opatrenia proti elektromagnetickému rušeniu 25 a ostatné vplyvy prostredia 10.
Také hodnotenie možno odôvodniť aj pri rovnakých stýkačoch. Rozdielna konštrukcia, technika, zaťaženie alebo výrobca prináša v jednej položke najviac 20 bodov. Dve značky na tom istom výrobku sú stále ten istý výrobok. Body sa priznávajú iba za úplné zavedenie opatrenia v hodnotenom subsystéme; čiastočné zavedenie znamená nulu.
Druhý kanál pomáha iba vtedy, keď spoločná príčina nevezme schopnosť činnosti obom kanálom naraz. Dva stýkače v jednej horúcej, stlačenej a rušenej pasci nie sú taká veľká výhra, ako vyzerajú v nákupnom zozname.
A kde sú dva kanály v snímači, relé a PLC?
Na K1 a K2 možno ukázať prstom. V elektronike môžu byť kanály ukryté v jednej skrinke. Norma opisuje logickú štruktúru; vnútorné riešenie konkrétneho zariadenia určuje výrobca.
Dva snímače pri jednom kryte
Indukčné snímače S1 a S2 detegujú kovový prvok zatvoreného krytu. Každý privádza vlastný signál na samostatný vstup riadenia. Na prevádzku sú potrebné dve potvrdenia „zatvorený“.
S1 sa pokazí a stále ukazuje „zatvorený“. Obsluha otvorí kryt a kov sa vzdiali od oboch snímačov. Funkčný S2 zmení signál a riadenie vydá príkaz na zastavenie. Na reakciu stačí strata jedného potvrdenia.
Jeden bezpečnostný snímač, dva výstupy OSSD
Indukčný bezpečnostný snímač môže obsahovať diagnostiku a dva monitorované elektronické výstupy OSSD, teda prvky spínajúce výstupný signál. Po oddialení kovu sa oba výstupy vypnú a odovzdajú riadeniu požiadavku na zastavenie. Diagnostika kontroluje aj ich schopnosť vypnúť.
Bežný snímač môže mať dva výstupy s úplne iným významom. Jedna elektronika deteguje kov a rovnaký výsledok ovláda oba výstupy. Výstup NO, normálne otvorený, sa pri zistení kovu zapne. Výstup NC, normálne zatvorený, sa vtedy vypne.
Ak elektronika nesprávne vyhodnotí kov aj pri otvorenom kryte, oba výstupy sa správajú presne ako pri zatvorenom kryte. Kontrola ich opačných stavov chybu neodhalí. Riadenie dostalo dve verzie rovnakého omylu. Rovnaký problém vytvorí rozdelenie jediného signálu na dva vstupy.
Bezpečnostné relé a riadiaci systém
V klasickom bezpečnostnom relé pracujú dve vnútorné relé R1 a R2. Ich povoľovacie kontakty sú zapojené sériovo. Keď sa kontakt R1 zvarí, R2 stále otvorí výstup. Mechanicky spriahnuté kontrolné kontakty umožnia zvarenie odhaliť a opätovné zapnutie zablokovať.
PLC, teda programovateľný logický riadiaci systém v bezpečnostnom vyhotovení, môže používať dva procesory a porovnávanie výsledkov. Jeden nesprávne vypočíta povolenie pohybu, druhý zastavenie. Rozdiel spustí ochrannú reakciu. Skúšky zahŕňajú aj pamäť, vykonávanie programu, vstupy a výstupy.
Dve kópie programu v bežnom PLC však môžu bežať na jednom procesore. Jeho porucha zasiahne obe kópie. Kopírovanie programu je jednoduchšie než vybudovanie odolnosti proti poruchám — a prináša úplne iný výsledok.
Bezpečnostná svetelná clona
Obsluha preruší lúče medzi vysielačom a prijímačom. Clona vypne OSSD1 a OSSD2. Ak poškodený OSSD1 zostane zapnutý, vypnutie OSSD2 stále stačí pripojenému riadeniu na vydanie príkazu na zastavenie.
Každý výstup vedie na určený vstup. Diagnostika zahŕňa výstupy aj ich spoje. V dokumentácii zariadenia projektant overí dosiahnutý PL, kategóriu, reakčný čas a požadované zapojenie. Až potom vie vlastnosti hotového subsystému správne použiť v konkrétnej funkcii.
Rovnaký PL, odlišné správanie po poruche
Jeden projektant dosiahne PL d v kategórii 2, druhý v kategórii 3. Oba výsledky môžu byť správne. Prvý použil spoľahlivejší funkčný kanál so skúšaním, druhý dva funkčné kanály.
| Kategória | MTTFD kanála | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 rokov | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 rokov | 90% | 2,65 × 10⁻⁷ | d |
V kategórii 2 sa MTTFD týka funkčného kanála. V kategórii 3 každého z dvoch kanálov. Obe PFH patria do rozsahu PL d, ale kategória 2 môže medzi skúškami stratiť čiastkovú funkciu, zatiaľ čo kategória 3 ju po jednej poruche zachová.
Ak SRS alebo norma typu C pre konkrétny stroj vyžaduje zachovanie funkcie po jednej poruche, projektant musí zabezpečiť práve toto správanie. Samotné písmeno d výber nevyrieši.
Rovnaká kategória, lepšia diagnostika
V kategórii 3 pri MTTFD každého kanála 100 rokov posunie zmena DCavg zo 60% na 90% výsledok z PL d na PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
Vyššie diagnostické pokrytie musí vychádzať z účinnejšieho odhaľovania porúch a primeranej reakcie. Kontrola zmien spätnej väzby dokáže odhaliť skrat, ktorý neustále potvrdzuje otvorenie stýkača. Také opatrenie mení činnosť systému. Prepnutie políčka zo 60 na 90% vo výpočtovom programe mení zatiaľ iba výtlačok.
Predpoklady číselných príkladov. Hodnoty vychádzajú z modelov subsystémov ISO 13849-1:2023-09. Metóda podľa bodu 6.1.8 predpokladá 20 rokov plánovaného používania, konštantné intenzity porúch a primerané opatrenia proti CCF. Pri prvkoch opotrebovaných skôr treba rešpektovať ich obmedzenia používania.
V kategórii 2 platia aj požiadavky na skúšobný kanál a frekvenciu skúšok alebo reakčný čas pri vyžiadaní. Pri periodickom skúšaní zodpovedajú uvedené PFH pomeru frekvencie skúšok k vyžiadaniam najmenej 100:1. Poznámka 1 k tabuľke K.1 uvádza odhad pre pomer najmenej 25:1 vynásobením tabuľkového PFH hodnotou 1,1. Hodnoty pre nízke, stredné a vysoké DCavg boli vypočítané pri 60%, 90% a 99%.
PL vyjadruje úroveň výkonnosti. Kategória vysvetľuje, ako sa systém vyrovnáva s poruchami. Na výber riešenia potrebujete obe informácie. Jedna nenahrádza druhú.
Stýkače pripravené odpojiť. Len príkaz neprišiel
Subsystém K1–K2 dosahuje PL e. Snímač krytu však chybne oznámi logike, že dvere sú zatvorené. Riadenie povolí pohyb a oba stýkače zostanú zapnuté. Môžu byť funkčné a dokonale monitorované. Problém vznikol skôr, na vstupe funkcie.
Preto sa posudzuje celý reťazec: vstup → logika → výstup vrátane spojov. Pri sériovej kombinácii subsystémov so známym PFH sa ich hodnoty sčítajú. PL celku obmedzuje súčet aj najnižší PL ktoréhokoľvek subsystému.
Tri subsystémy po 4 × 10⁻⁸ 1/h dávajú spolu 1,2 × 10⁻⁷ 1/h — PL d. Každý samostatne patril do PL e. Výpočet je jednoduchý: celá funkcia má viac miest, na ktorých môže nebezpečne zlyhať. Podrobnosti vysvetľuje článok o výpočte PL podľa ISO 13849-1.
Po odpojení napájania potrebuje pás ešte čas na zabrzdenie. Ochrana musí zareagovať skôr, než človek dosiahne nebezpečenstvo. Tento vzťah dobre ukazuje príklad vzdialenosti bezpečnostnej svetelnej clony po zmene reakčného času.
Pri spájaní subsystémov posúdených rôznymi metódami pomáha aj porovnanie ISO 13849-1 a IEC 62061.
Po niekoľkých rokoch niekto vymení K1
Nový stýkač má rovnaký menovitý prúd a pasuje na lištu. Servisný technik však potrebuje aj správny zrkadlový kontakt, zodpovedajúce časy činnosti a údaje o životnosti. Tieto vlastnosti boli súčasťou návrhu. Zápis „24 V, rovnaký počet ampérov“ vynecháva presne to, čo potrebuje diagnostika.
Dokumentácia musí vysvetliť, prečo bol prístroj vybraný, čo systém kontroluje a ako reaguje na poruchu. Bez toho zostáva telefonát autorovi programu a nádej, že si pamätá dôvod každej podmienky. Tak sa technické odôvodnenie mení na pamäť jednej osoby.
| Pole | Záznam |
|---|---|
| Rozsah | Výstupný subsystém K1–K2 so spojmi a monitorovaním; úloha: odpojenie napájania pohonu. |
| Posudzovaná porucha | K1 zostane zatvorený napriek príkazu na vypnutie. |
| Požadovaná reakcia | K2 samostatne odpojí pohon. Chýbajúci návrat spätnej väzby K1 odhalí poruchu a zablokuje opätovné zapnutie. |
| Požadovaný dôkaz | Analýza porúch a skúška T-01: overenie odpojenia pomocou K2, reakčného času, odhalenia poruchy a blokovania. Výsledok sa zaznamená pre konkrétnu verziu systému. |
Úplná karta prepája záznam so SRS, verziou schémy, podkladmi MTTFD, DCavg, CCF a výsledkami validácie. Odôvodňuje aj použité vylúčenia porúch.
Stiahnite si kartu odôvodnenia kategórie v angličtine vo formáte PDF: príklad K1–K2 a formulár pre vlastný projekt sú v jednom súbore s poľami na vyplnenie v počítači.
Manažér nemusí osobne počítať PFH. Môže však požiadať dodávateľa, aby na schéme ukázal jednu poruchu: čo sa pokazí, čo ďalej chráni človeka, kedy riadenie problém odhalí a kde je výsledok skúšky. To vedie k podstatne lepšej diskusii než otázka na značku relé.
Dva stýkače sú položka v nákupnom zozname. Kategóriu možno priradiť až podľa ich funkcie, diagnostiky a zdokumentovaného odôvodnenia návrhu.
Zdroje
Príklady dopravníka, stýkačov a ventilov slúžia na vysvetlenie požiadaviek. Hodnoty PFH a zodpovedajúce PL pochádzajú z tabuľky K.1 uvedenej normy.
- ISO 13849-1:2023-09: body 4.5, 5.1, 5.2.1 a 5.3–5.5 — informácie z posúdenia rizika, SRS, PLr a rozdelenie na subsystémy; definície 3.1.45–3.1.47 a body 6.1.3.1–6.1.3.2.1 — subsystém, kanál a architektúry.
- ISO 13849-1:2023-09: body 6.1.3.2.2–6.1.3.2.6 — požiadavky kategórií B–4, reakcia na poruchy, skúšanie a nahromadenie porúch; definície 3.1.49–3.1.50 a bod 6.1.11 — osvedčené bezpečnostné zásady a komponenty.
- ISO 13849-1:2023-09: tabuľky 2, 6 a 7, body 6.1.4–6.1.5, 6.1.8, prílohy C–E a tabuľka K.1 s poznámkami 1–2 — PL, PFH, MTTFD, DC, údaje o životnosti, počet zopnutí a predpoklady číselných modelov.
- ISO 13849-1:2023-09: bod 6.1.6, príloha F a tabuľka F.1 — CCF, opatrenia obmedzujúce spoločné vystavenie, bodové hodnotenie a hranica 65 bodov; F.3.2 — diverzita; F.3.3 a F.3.6 — ochrany, rušenie a pracovné prostredie.
- IEC 60947-4-1:2019-05: bod 8.2.5.1 — spolupráca stýkačov so skratovými ochrannými prístrojmi a koordinácia typu 2; body 8.2.4.3.1–8.2.4.3.2 a príloha B — mechanická a elektrická životnosť; príloha F — vlastnosti a identifikácia zrkadlových kontaktov.
- ISO 13849-1:2023-09: bod 6.1.10, definície 3.1.29–3.1.30 a 3.1.51–3.1.52, príloha E, tabuľka E.1 — analýza porúch, monitorovanie, skúšanie a kontrola vierohodnosti; kapitola 7 a príloha N — programové vybavenie a vopred posúdené platformy; bod 13.2 — informácie na integráciu.
- ISO 4413:2011: bod 5.4.4.1 — tesnosť a vhodnosť ventilov na použitie súvisiace s bezpečnosťou; body 5.4.7.1–5.4.7.2.1 — neúmyselný pohyb, izolovanie energie a uvoľnenie tlaku.
- ISO 13849-1:2023-09: bod 6.2.2 a kapitola 8 — kombinovanie subsystémov, súčet PFH a obmedzenia dosiahnutého PL; bod 5.2.2.2 — zastavovanie; body 10.1.1–10.1.2, 10.8 a kapitola 12 — validácia, protokoly a technická dokumentácia.