»Dva kontaktorja in varnostni rele, torej kategorija 3.« V omari je vse videti pravilno. Tudi na nabavnem seznamu. Šele zvarjeni kontakti pokažejo, koliko te urejenosti ostane v resničnem delovanju.
Operater odpre varovalo transporterja. Krmilje izklopi tuljavo K1, vendar so kontakti zvarjeni. Motor še vedno dobiva napajanje. Ukaz je bil pravilen, kontaktor ga preprosto ni izvedel. Drugi kontaktor lahko reši odklop. Diagnostika lahko razkrije napako in prepreči naslednji zagon. Vse je odvisno od zasnove vezja.
Varnostne kategorije po ISO 13849-1 opisujejo odpornost podsistema proti napakam in njegovo vedenje po njihovem nastanku. Razliko med B, 1, 2, 3 in 4 najlažje razumemo pri isti nalogi: prekiniti napajanje pogona tudi takrat, ko nekaj odpove. Med prevzemom je vsak brezhiben sistem videti prepričljivo. Kategorija začne zares šteti šele, ko sistem ni več brezhiben.
Najprej naloga, nato aparati v omari
Operater mora popraviti obdelovanec. Trak se mora ustaviti, preden lahko človek doseže nevarno mesto, in mora ostati ustavljen ves čas dela pri odprtem varovalu. Projektant zahteve izpelje iz ocene tveganja po ISO 12100 ter jih zapiše v specifikacijo varnostnih zahtev – SRS.
Celotna funkcija obsega zaznavanje odprtja varovala, odločitev krmilja in odklop pogona. Vsak del je mogoče obravnavati kot podsistem. V naslednjih primerih se spreminja izhodni podsistem: kontaktorji, njihove povezave in nadzor. Njegova podfunkcija je prekinitev napajanja pogona.
Kontaktor je električno krmiljeno stikalo. Napetost na tuljavi zapre močnostne kontakte, skozi katere teče tok motorja. Ko krmilje tuljavo izklopi, brezhiben kontaktor kontakte odpre. Zvarjenje mu odvzame prav to sposobnost.
Pri dveh kontaktorjih K1 in K2 teče tok motorja zaporedno skozi oba. Odprtje kateregakoli prekine tokokrog. Vsak kontaktor skupaj s svojim krmiljenjem tvori ločeno pot odklopa oziroma kanal.
Kategorija B: K1 se je zvaril, napajanje ostane
Pogon odklaplja en kontaktor K1. Po odprtju varovala krmilje izklopi tuljavo, kontakti se odprejo in motor izgubi napajanje. Tako lahko brez težav mine več tisoč ciklov.
Pri naslednjem vklopu se kontakti zvarijo. Transporter še deluje, zato operater ničesar ne opazi. Nato odpre varovalo. Napetost na tuljavi izgine, toda tok do motorja še vedno teče. Drugega elementa, ki bi ga lahko prekinil, ni. Ena napaka podsistemu odvzame sposobnost odklopa pogona.
Če bi se namesto zvarjenja prekinil vodnik tuljave, bi se brezhiben kontaktor izklopil. To je druga napaka z drugim učinkom. Trditev »ob okvari bo kontaktor izpadel« deluje odlično, dokler si avtor sam izbira, katero okvaro bo obravnaval.
Kategorija B zahteva osnovna varnostna načela in izbiro elementov za dejanske razmere. Kontaktor mora prenesti obremenitev, število preklopov in temperaturo v omari. Črka B ni dovoljenje za vgradnjo tistega, kar je po naključju ostalo na polici.
Kdaj kategorija B doseže PL a in kdaj PL b?
Dve na videz enaki vezji se lahko razlikujeta po pogostosti nevarnih odpovedi. En kontaktor vklopi motor enkrat na izmeno, drugi pri vsakem obdelovancu. Model je isti, število preklopov pa niti približno.
Projektant upošteva trajnost aparata in dejanski način uporabe stroja. Določi MTTFD, povprečni čas do nevarne odpovedi. Večja vrednost pomeni, da se takšne odpovedi statistično pojavljajo redkeje. Za kanal je treba vključiti vse elemente, katerih odpoved lahko prepreči odklop.
Primeri za podsistem kategorije B po preglednici K.1
| MTTFD kanala | PFH – povprečna pogostost nevarne odpovedi na uro | Doseženi PL |
|---|---|---|
| 10 let | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 let | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 let | 5,71 × 10⁻⁶ 1/h | PL b |
Pri 10 letih je rezultat PL a, pri 12 letih že PL b. PFH pade pod mejo 10⁻⁵ 1/h. Spremenila se je zanesljivost, ne vedenje vezja po zvarjenju kontaktov. MTTFD je statistični parameter. Vrednost 20 let ni dvajsetletna garancija niti samodejni rok zamenjave.
Vrednosti veljajo za izhodni podsistem. Celotna funkcija vključuje še PFH senzorja in logike: PFH vhoda + PFH logike + PFH izhoda. Rezultat se primerja z območji PL, dodatno pa ga omejuje najnižji PL kateregakoli podsistema. Izhod s PL b lahko zato v celotni funkciji prispeva k rezultatu PL a.
Kategorija B lahko doseže največ PL b. Če je zahtevana raven zmogljivosti PLr d, še eno uspešno odpiranje varovala med prevzemom ne bo premaknilo te meje. Vse je odvisno od enega kanala; ko zvarjeni K1 ne odklopi pogona, zaščita izgine.
Kategorija 1: ista težava naj se zgodi redkeje
Pogon še vedno odklaplja en K1. Projektant pa zaostri zahteve glede njegove zanesljivosti in načina uporabe. Poleg pravil kategorije B uporabi preizkušene komponente in preizkušena varnostna načela. MTTFD kanala mora biti visok: pri poenostavljeni metodi od 30 do 100 let.
Beseda »preizkušen« velja za konkretne delovne razmere. Aparat, ki je več let brez težav preklapljal grelnike, zdaj dobi motor z velikim zagonskim tokom in pogostimi vklopi. Logotip je ostal isti. Obremenitev ne.
Izbira temelji na dokumentiranih izkušnjah iz podobnih uporab ali na lastnostih, dokazanih z zasnovo, preverjanjem in validacijo po ustreznih standardih. ISO 13849-2 določa tudi komponente in pogoje, pod katerimi jih je mogoče obravnavati kot preizkušene. Projektant uporabi načela, ki zmanjšajo nastanek napak ali njihove nevarne posledice.
Potem se K1 vendarle zvari. Tuljava je izklopljena, kontakti ostanejo zaprti in motor je še napajan. Kategorija 1 zmanjša verjetnost dogodka. Drugega kanala pa iz nič ne pričara.
Večja zanesljivost: od PL b do PL c
Pri MTTFD kanala 30 let preglednica K.1 daje PL b. Pri 39 letih PFH pade pod 3 × 10⁻⁶ 1/h in rezultat preide v PL c.
Primeri za podsistem kategorije 1 po preglednici K.1
| MTTFD kanala | PFH – povprečna pogostost nevarne odpovedi na uro | Doseženi PL |
|---|---|---|
| 30 let | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 let | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 let | 1,14 × 10⁻⁶ 1/h | PL c |
Zgornja meja kategorije 1 je PL c. Boljši aparat je smiseln, ker odpove redkeje. Ko odpove prav zaradi zvarjenja, pa pogon še vedno nima druge poti odklopa. Zaščita stoji na večji zanesljivosti enega samega kanala.
Kategorija 2: sistem preveri, ali je K1 izvedel ukaz
Operater odpre varovalo. Krmilje izklopi K1 in počaka na potrditev, da so se njegovi kontakti odprli. Tokrat se izvedba ukaza preverja.
Povratno informacijo zagotavlja zrcalni kontakt kontaktorja. Njegova konstrukcija preprečuje zaprtje, kadar močnostni kontakt ostane zvarjen. Sistem tako dobi odgovor: K1 je odprl tokokrog ali pa ukaza ni izvedel.
K1 se zvari. Potrditev se ne vrne. Preizkus zazna napako in sproži reakcijo. V tem primeru dodatni kontaktor KT, vezan zaporedno s K1, prekine napajanje. Krmilje prepreči ponovni vklop, dokler napaka ni odpravljena.
Standard preskusno napravo označuje s TE, njen izhod pa z OTE. Tu OTE krmili KT. K1 pripada funkcionalnemu kanalu, ki izvaja običajni odklop. TE in OTE sestavljata preskusni kanal, ki preverja izvedbo naloge in po zaznani napaki sproži reakcijo.
V omari sta dva kontaktorja, vendar je to še vedno primer kategorije 2. KT odklopi šele po zaznani težavi s K1. Že tukaj štetje aparatov izgubi proti branju sheme.
Včeraj brezhiben, pri današnjem vklopu že zvarjen
K1 pravilno prestane preizkus. Pri naslednjem vklopu se njegovi kontakti zvarijo. Do naslednjega preverjanja je funkcionalni kanal okvarjen. Prejšnji rezultat ni ničesar prikril; stroj se je od takrat preprosto pokvaril.
Zato lahko kategorija 2 med preizkusi izgubi podfunkcijo. Projektant mora določiti, kdaj se preizkus izvede in kako hitro mora sistem reagirati. Če se preverjanje začne ob odprtju varovala, morajo zaznava napake, izklop KT in ustavitev gibanja nastopiti, preden človek doseže nevarno območje.
Pri PLr d mora OTE sprožiti varno stanje in ga ohraniti do odprave napake. V tem vezju za to poskrbi KT. Rdeče opozorilo na zaslonu bi pustilo motor pod napetostjo. Operaterju bi samo zelo jasno razložilo, zakaj zaščita ne deluje.
Preizkušanje lahko doseže PL d, vendar šteje tudi zanesljivost
Točka 6.1.3.2.4 zahteva pogostost preizkusov najmanj stokrat večjo od pogostosti zahtev za funkcijo ali takojšen preizkus ob zahtevi, pri katerem sistem napako zazna in stroj privede v nenevarno stanje, preden je mogoče seči v nevarno območje. Odprtje varovala je tukaj zahteva za funkcijo. Razmerje 100 : 1 ne pomeni sto preizkusov pred vsakim odpiranjem.
MTTFD preskusnega kanala TE–OTE mora presegati polovico MTTFD funkcionalnega kanala. Vsak del funkcionalnega kanala potrebuje najmanj nizko diagnostično pokritost. Veljajo tudi pravila kategorije B, preizkušena varnostna načela in ukrepi proti odpovedim obeh kanalov zaradi skupnega vzroka.
Za PLr do vključno c mora OTE prav tako sprožiti varno stanje, kadar je to izvedljivo. Če ni, standard dopušča, da lahko zadostuje opozorilo. Pri PLr d je varna reakcija obvezna.
DC, diagnostična pokritost, opisuje učinkovitost zaznavanja nevarnih odpovedi. Za podsistem se določi povprečna diagnostična pokritost DCavg, ki upošteva pogostost takšnih odpovedi v njegovih delih. Pri istem DCavg = 90 % kategorija 2 doseže PL a pri MTTFD funkcionalnega kanala 3 leta, PL b pri 10 letih, PL c pri 30 letih in PL d pri 100 letih. Preizkus obstaja v vseh štirih primerih. Razlikuje se pogostost odpovedi, ki jih mora obvladati.
Podsistem kategorije 2, DCavg = 90% — primeri po preglednici K.1
| MTTFD funkcionalnega kanala | PFH – povprečna pogostost nevarne odpovedi na uro | Doseženi PL |
|---|---|---|
| 3 leta | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 let | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 let | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 let | 2,29 × 10⁻⁷ 1/h | PL d |
V kategoriji 2 je zaščita odvisna od tega, ali preizkus zazna napako in ali sistem pravočasno reagira. Čas preverjanja ni podrobnost za konec projekta. Je del varnostne funkcije.
Kategorija 3: K2 odklopi brez čakanja na rezultat preizkusa
K1 in K2 sta zaporedno vključena v napajanje motorja. Ko operater odpre varovalo, krmilje izda ukaz za izklop obeh. Vsak kontaktor ima svojo krmilno pot in vsak lahko sam prekine napajanje pogona.
Zvarjeni K1 ostane zaprt. K2 odpre kontakte in prekine tok. Drugi kanal izvede varnostno nalogo kljub napaki prvega. To je ključna razlika. Pri kategoriji 2 je KT ukrepal šele po zaznavi napake. Tu K2 prejme ukaz zato, ker je bilo odprto varovalo. Na diagnozo K1 mu ni treba čakati.
Transporter se je ustavil, popravilo je še vedno potrebno
Operater vidi običajen rezultat: trak se ustavi. V omari pa en kontaktor ne deluje več. Diagnostika zazna, da se potrditev odprtja K1 ni vrnila, in prepreči naslednji vklop. K2 je izvedel nalogo okvarjenega kanala. Mimogrede ga ni tudi popravil.
Če bi krmilje dovolilo nadaljnje delo z zaznano napako, bi bil naslednji odklop odvisen samo še od K2. Kategorija 3 zahteva ohranitev podfunkcije po eni napaki. To velja za elemente in povezave celotnega ocenjevanega podsistema. Če lahko ena napaka krmiljenja obdrži obe tuljavi pod napetostjo, lahko oba kontaktorja brezhibno izvedeta napačen ukaz.
Kategorija 3 zahteva najmanj nizko diagnostično pokritost. Posamezna napaka mora biti zaznana ob zahtevi za funkcijo ali pred naslednjo zahtevo, kadar je to praktično izvedljivo. Nekatere napake lahko ostanejo nezaznane. Njihovo poznejše kopičenje lahko odpravi zaščito. Prav tu se začne razlika do kategorije 4.
Kategorija 3 lahko doseže PL c, d ali e
Pri DCavg = 90 % in MTTFD vsakega kanala 10 let je rezultat po preglednici K.1 PL c. Pri 30 letih je PL d, pri 100 letih PL e. Enačba »kategorija 3 pomeni PL d« je priročna bližnjica, ki izgubi drugi dve možnosti.
Podsistem kategorije 3, DCavg = 90% — primeri po preglednici K.1
| MTTFD vsakega kanala | PFH – povprečna pogostost nevarne odpovedi na uro | Doseženi PL |
|---|---|---|
| 10 let | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 let | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 let | 4,29 × 10⁻⁸ 1/h | PL e |
MTTFD velja za vsak kanal posebej. Dva kanala po 30 let ne postaneta en kanal z MTTFD 60 let. Še naprej veljajo zahteve kategorije B, preizkušena varnostna načela in ukrepi proti odpovedim zaradi skupnega vzroka.
K2 odklopi pogon kljub okvari K1. Diagnostika nato odloči, ali sme sistem dobiti dovoljenje za naslednji cikel.
Kategorija 4: težava je tudi napaka, ki uide diagnostiki
Po zvarjenju K1 pogon odklopi K2, krmilje pa prepreči naslednji vklop. Enako se je zgodilo pri kategoriji 3. Razlika se pokaže pri širši analizi: kaj sistem zazna, kdaj to zazna in kaj se zgodi z napakami, ki so diagnostiki ušle?
Pri kategoriji 4 mora posamezna napaka pustiti funkcijo delujočo in biti zaznana ob zahtevi za funkcijo ali pred naslednjo zahtevo. Če zaznava v tem času ni mogoča, mora zaščita ostati učinkovita tudi ob kopičenju napak.
Sistem preverja tudi, ali potrditev govori resnico
Vsak kontaktor ima ločeno nadzorovan zrcalni kontakt. Krmilje spremlja njegov odziv skozi celoten cikel:
- Pred vklopom sta oba kontaktorja izklopljena. Zrcalna kontakta morata potrditi odprta močnostna tokokroga.
- Po vklopu kontaktorja mora potrditev odprtja izginiti v določenem času.
- Po izklopu se mora potrditev vrniti.
- Pri zvarjenem K1 se ne vrne. K2 odklopi pogon, logika pa prepreči ponovni vklop.
Napetost tuljave se spreminja 0 → 24 → 0 V, pričakovana potrditev odprtja pa 1 → 0 → 1.
Zakaj preverjati tudi izginotje potrditve? Vodnika zrcalnega kontakta se lahko kratko skleneta. Signal tedaj ves čas sporoča »K1 odprt«, tudi ko se kontaktor vklopi. Sistem, ki preverja samo prisotnost signala pred zagonom, bi sprejel lažno potrditev.
Nadzor sprememb zazna protislovje: K1 je dobil ukaz za vklop, informacija »odprt« pa je ostala. Krmilje izklopi izhode in blokira delovanje. Operater lahko pritiska ponastavitev, vendar ponastavitev ne bo ločila niti kratko sklenjenih vodnikov niti zvarjenih kontaktov.
Takšna diagnostika je mogoča tudi v kategoriji 3. O kategoriji 4 odloča vedenje celotnega podsistema pri obravnavanih napakah in njihovem kopičenju. Analizirati je treba tudi krmilne tokokroge, povratne informacije in posledice njihovih odpovedi.
Dva ventila pokažeta, zakaj je to pomembno
V1 in V2 sta sedežna ventila, zaporedno vključena v dovod olja do valja. Vsak lahko sam prekine dovod. Senzorja nadzorujeta položaj zapiralnih elementov.
Na V1 odpove tesnilo sedeža. Zapiralni element doseže položaj »zaprto«, toda olje zaradi poškodbe pušča. Senzor položaja še vedno govori resnico. Brezhiben V2 ustavi pretok, zato se na stroju nič ne zgodi.
Pozneje začne iz neodvisnega razloga puščati tudi V2. Pretok skozi oba ventila zdaj zadošča za nevaren premik valja. Na zaslonu sta še vedno dve potrditvi »zaprto«. Popolnoma skladni in popolnoma neuporabni za zaznavo te odpovedi.
To je kopičenje nezaznanih napak, ki lahko pri kategoriji 3 odpravi zaščito. Pri kategoriji 4 je treba takšen razvoj prekiniti: pomembno puščanje pravočasno zaznati ali zagotoviti ohranitev funkcije tudi pri obravnavani kombinaciji napak.
Preizkus tesnosti vsakega ventila posebej preveri prav tisto, česar senzor položaja ne preverja. Puščanje lahko na primer zviša tlak v ločenem preskusnem prostoru za ventilom, ki je izoliran od valja. Tlačni senzor zazna rast, sistem pa prepreči nadaljnje delovanje.
Če bi oba zaprta ventila preverjali hkrati, bi tesni V2 lahko skril netesnost V1. Prag in trajanje preizkusa morata razkriti varnostno pomembno puščanje, preden nastane nevarnost. Projekt mora obravnavati tudi preostali tlak za ventiloma: prekinitev novega dovoda ne odstrani že shranjene energije.
Devetindevetdeset odstotkov mora izhajati iz delovanja diagnostike
Kategorija 4 zahteva visok DCavg, najmanj 99 %, in visok MTTFD vsakega kanala. Delež 99 % se nanaša na pogostost zaznanih nevarnih odpovedi. Zaznava devetih redkih vrst odpovedi in spregled ene pogoste lahko da slab rezultat. Seznam kljukic je tedaj videti bolje kot zaščita.
Podsistem kategorije 4, DCavg = 99% — primeri po preglednici K.1
| MTTFD vsakega kanala | PFH – povprečna pogostost nevarne odpovedi na uro | Doseženi PL |
|---|---|---|
| 30 let | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 let | 2,47 × 10⁻⁸ 1/h | PL e |
| 2.500 let | 9,06 × 10⁻¹⁰ 1/h | PL e |
Model za kategorijo 4 dopušča MTTFD kanala do 2.500 let. To je statistični parameter, ne življenjska doba aparata. Še vedno veljajo pravila kategorije B, preizkušena varnostna načela in ukrepi proti skupnim vzrokom odpovedi.
Točka 6.1.3.2.6 navaja, da v praksi lahko zadostuje obravnava kombinacij dveh napak. Izpustitev nezaznanih odpovedi z zelo majhno verjetnostjo zahteva dokumentirano in preverjeno analizo, na primer analizo načinov odpovedi in njihovih učinkov (FMEA).
Diagnostika mora preverjati sposobnost izvedbe naloge. Ventil lahko pravilno potrjuje položaj in še vedno prepušča olje.
Pet kategorij, en zvarjeni K1
Pri B in 1 zvarjeni K1 pusti motor pod napetostjo. V kategoriji 2 odklop izvede KT, ko TE zazna napako. Pri kategorijah 3 in 4 odklopi K2, ki dobi ukaz že ob odprtju varovala. Diagnostika zazna okvaro in prepreči naslednji cikel.
Zato se pri presoji preveri tudi, kaj se bo zgodilo po prvi uspešni varnostni reakciji. Ustavljeni transporter še ni dokaz, da je sistem pripravljen na naslednjo napako.
Dva kontaktorja lahko izgubita proti istemu kratkemu stiku
Do zdaj se je pokvaril K1, K2 pa je rešil odklop. Za K2 pa nastane kratki stik. Kratkostični tok steče skozi oba zaprta kontaktorja in poškoduje oba. Drugi kanal je srečal isti vzrok kot prvi. To je CCF, odpoved zaradi skupnega vzroka.
Pri kategorijah 3 in 4 CCF zadeva oba funkcionalna kanala, pri kategoriji 2 pa funkcionalni in preskusni kanal. Projektant skupne izpostavljenosti omeji s konkretnimi ukrepi, ne z dobro željo v zapisniku.
K2 se zapre prvi in odpre zadnji
Najprej se zapre K2. K1 je še odprt, zato tok motorja ne teče. Nato K1 sklene tokokrog in vključi breme. Pri izklopu je zaporedje obrnjeno: K1 prekine tok, K2 pa se odpre nekoliko pozneje, že brez toka bremena.
Med delovanjem oba prevajata isti tok, razlikujejo pa se pogoji preklapljanja. K2 se praviloma izogne vklopu zagonskega toka in prekinitvi bremena, zato se njegovi kontakti električno manj obrabljajo. Mehanizem kljub temu izvede vsak gib; mehanska obraba ostane.
K2 mora biti izbran tudi za samostojno prekinitev polne obremenitve. Po zvarjenju K1 bo moral storiti prav to. Izklopiti se mora v določenem času in ne sme čakati na potrditev K1, saj je pri zvarjenju ne bo. Zakasnitve in časi aparatov se morajo vključiti v zahtevani odzivni čas funkcije.
Kratkostična zaščita mora omejiti posledice skupnega dogodka
Zaporedje preklapljanja razlikuje obremenitve pri vklopu in izklopu. Med kratkim stikom, ko sta oba kontaktorja zaprta, tok obremeni oba. Zaščita F ga mora prekiniti, posledice pa določata velikost toka in čas njegovega pretoka.
Projektant določi pričakovani kratkostični tok na mestu vgradnje in preveri celoten sklop: konkretni kontaktor, vrsto in nazivni tok zaščite, napetost ter pogoje uporabe. Podatki proizvajalca določajo dovoljeno kombinacijo. Nazivni tok motorja sam pove premalo.
Zvarjeni kontakti lahko ostanejo zaprti tudi po delovanju F. Varovalka prekine tok. Popravilo kontaktorjev ni vključeno v paket. Pred ponovnim zagonom je treba pregledati oba aparata in odpraviti poškodbe.
IEC 60947-4-1:2018, točka 8.2.5.1, dopušča možnost zvarjenja kontaktov tudi pri koordinaciji tipa 2. Proizvajalec predpiše ustrezne vzdrževalne ukrepe. Uporaba druge zaščite od priporočene lahko razveljavi koordinacijo.
Skupna trasa, skupni napajalnik, skupno pregrevanje
Vodniki obeh tuljav potekajo v istem snopu. Stisk snopa kratko sklene obe krmilni poti na +24 V. Ločene in zaščitene trase ter ločene sponke zmanjšajo možnost, da ena poškodba prizadene oba kanala.
Skupni napajalnik po odpovedi odda previsoko napetost. Projektant mora preveriti njegovo vedenje ob okvari ter uporabiti ustrezno omejevanje napetosti ali zunanjo zaščito napajanih tokokrogov.
Oba kontaktorja se segrevata nad frekvenčnim pretvornikom. Po odpovedi ventilatorja temperatura preseže dovoljeno vrednost. Razporeditev aparatov, odmiki in hlajenje morajo upoštevati tudi ta primer. Odprta omara med prevzemom ima navadno izvrstno prezračevanje. Zaprta omara avgusta je druga zgodba.
Oba kanala potekata ob motorskih vodnikih frekvenčnega pretvornika. Ločitev tras, oklop in izenačevanje potencialov pomagajo omejiti skupni vpliv elektromagnetnih motenj. Odpornost mora ustrezati resničnim delovnim razmeram.
Priloga F oceno uredi s točkami. Metoda zahteva najmanj 65 točk za uporabljene ukrepe. Primeri so: ločitev kanalov 15, zaščita pred ustreznimi nadtoki in prenapetostmi 15, ukrepi proti elektromagnetnim motnjam 25 ter drugi okoljski dejavniki 10 točk.
Tak rezultat je mogoče utemeljiti tudi z enakima kontaktorjema. Različna zasnova, tehnologija, obremenitev ali proizvajalec prinesejo do 20 točk v eni postavki. Dve različni blagovni znamki na istem izdelku sta še vedno isti izdelek. Postavka šteje le ob popolni izvedbi v ocenjevanem podsistemu; delna izvedba pomeni nič točk.
Drugi kanal pomaga samo, dokler skupni vzrok obema kanaloma ne odvzame sposobnosti delovanja.
Kje sta dva kanala v senzorju, releju in PLC?
K1 in K2 lahko pokažemo s prstom. Pri elektroniki sta kanala lahko v istem ohišju. Standard opisuje logično strukturo, notranjo izvedbo konkretne naprave pa določa njen proizvajalec.
Dva senzorja pri enem varovalu
Induktivna senzorja S1 in S2 zaznavata kovinski del zaprtega varovala. Vsak pošilja lasten signal na ločen vhod krmilja. Za delovanje sta potrebni obe potrditvi »zaprto«.
S1 odpove in stalno kaže »zaprto«. Operater odpre varovalo, kovinski del se odmakne od obeh senzorjev. Brezhibni S2 spremeni signal in krmilje izda ukaz za ustavitev. Za reakcijo zadošča izguba ene potrditve.
En varnostni senzor, dva izhoda OSSD
Induktivni varnostni senzor ima lahko diagnostiko in dva nadzorovana elektronska izhoda OSSD. Kratica OSSD pomeni Output Signal Switching Device oziroma stikalni element izhodnega signala. Ko se kovinski del odmakne, se oba izhoda izklopita in krmilju posredujeta zahtevo za ustavitev. Diagnostika nadzoruje tudi njuno sposobnost izklopa.
Navaden senzor ima lahko dva izhoda, ki delujeta drugače. Ena elektronika zazna kovino, isti rezultat pa krmili oba izhoda. Izhod NO (normalno odprt) se ob zaznavi kovine vklopi, NC (normalno zaprt) pa se izklopi. Če elektronika kljub odprtemu varovalu napačno zazna kovino, se oba izhoda vedeta natanko tako kot pri zaprtem varovalu.
Preverjanje nasprotnih stanj napake ne razkrije. Krmilje je dobilo dve različici iste zmote. Enak učinek ima razvejitev enega signala na dva vhoda.
Varnostni rele in krmilnik
V klasičnem varnostnem releju delujeta dva notranja releja R1 in R2. Njuni kontakti za dovoljenje delovanja so vezani zaporedno. Če se kontakt R1 zvari, R2 še vedno odpre izhod. Mehansko povezani nadzorni kontakti omogočajo zaznavo zvarjenja in preprečijo ponovni vklop.
Programirljivi logični krmilnik (PLC) za varnostne funkcije lahko uporablja dva procesorja in primerja rezultate. Eden napačno izračuna dovoljenje za gibanje, drugi ustavitev. Neskladje sproži varnostno reakcijo. Preizkusi zajemajo tudi pomnilnik, izvajanje programa ter vhode in izhode.
Dve kopiji programa v običajnem PLC lahko delujeta na enem procesorju. Njegova odpoved prizadene obe kopiji. Kopiranje kode je lažje od gradnje odpornosti proti napakam, vendar ne daje istega rezultata.
Varnostna svetlobna zavesa
Operater prekine žarke med oddajnikom in sprejemnikom. Varnostna svetlobna zavesa izklopi OSSD1 in OSSD2. Če okvarjeni OSSD1 ostane vklopljen, izklop OSSD2 še vedno zadošča, da povezano krmilje izda ukaz za ustavitev.
Vsak izhod mora biti priključen na njemu namenjen vhod. Diagnostika zajema izhoda in njune povezave. Projektant v dokumentaciji naprave preveri doseženi PL, kategorijo, odzivni čas in zahtevani način priključitve. Šele nato ve, kako lastnosti pripravljenega podsistema vključiti v konkretno funkcijo.
Isti PL, drugačno vedenje po napaki
En projektant doseže PL d s kategorijo 2, drugi s kategorijo 3. Oba rezultata sta lahko pravilna. Prvi uporabi zanesljivejši kanal s preizkušanjem, drugi dva funkcionalna kanala.
Dve različni arhitekturi, isti PL — primerjava modelov
| Kategorija | MTTFD kanala | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 let | 90 % | 2,29 × 10⁻⁷ | d |
| 3 | 30 let | 90 % | 2,65 × 10⁻⁷ | d |
Pri kategoriji 2 navedeni MTTFD velja za funkcionalni kanal, pri kategoriji 3 pa za vsakega od obeh kanalov. Oba PFH sta v območju PL d, vendar lahko kategorija 2 izgubi podfunkcijo med preizkusi, kategorija 3 pa jo po posamezni napaki ohrani.
Če SRS ali standard tipa C za konkretni stroj zahteva ohranitev funkcije po eni napaki, mora projektant zagotoviti prav to vedenje. Sama črka d ne izbere arhitekture.
Ista kategorija, boljša diagnostika
Pri kategoriji 3 in MTTFD vsakega kanala 100 let sprememba DCavg s 60 % na 90 % premakne rezultat iz PL d v PL e.
Kategorija 3, MTTFD vsakega kanala = 100 let — spreminjanje DCavg
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60 % | 1,01 × 10⁻⁷ | d |
| 90 % | 4,29 × 10⁻⁸ | e |
Višja diagnostična pokritost mora izhajati iz učinkovitejšega zaznavanja nevarnih odpovedi in ustrezne reakcije. Nadzor sprememb povratnega signala lahko razkrije kratki stik, ki nenehno lažno potrjuje odprt kontaktor. To spremeni delovanje sistema. Sprememba polja s 60 na 90 % v programu za izračun za zdaj spremeni samo izpis.
Številčne vrednosti izhajajo iz modelov podsistemov standarda ISO 13849-1:2023. Metoda iz točke 6.1.8 predpostavlja 20 let predvidene uporabe, konstantne intenzivnosti odpovedi in ustrezne ukrepe proti CCF. Pri elementih, ki se obrabijo prej, je treba upoštevati njihove omejitve uporabe.
Za kategorijo 2 veljajo še zahteve za preskusni kanal ter pogostost preizkusov oziroma odzivni čas ob zahtevi. Pri periodičnem preizkušanju prikazani PFH ustrezajo razmerju med pogostostjo preizkusov in zahtev najmanj 100 : 1. Opomba 1 k preglednici K.1 za razmerje najmanj 25 : 1 navaja oceno z množenjem tabelaričnega PFH z 1,1.
Vrednosti za nizki, srednji in visoki DCavg so izračunane pri 60 %, 90 % in 99 %. PL opisuje raven zmogljivosti. Kategorija pokaže, kako se sistem vede ob napakah. Za izbiro rešitve potrebujete oboje.
Isti PL ne pomeni nujno istega vedenja po napaki. Številka pove verjetnostni rezultat, arhitektura pa pokaže, kdo bo dejansko ustavil stroj.
Kontaktorja sta pripravljena odklopiti, ukaz pa ni prišel
Podsistem K1–K2 dosega PL e. Senzor varovala pa logiki napačno sporoča, da so vrata zaprta. Krmilje dovoli gibanje, zato oba kontaktorja ostaneta vklopljena. Lahko sta brezhibna in odlično nadzorovana. Težava je nastala prej, na vhodu funkcije.
Zato projektant oceni celotno verigo: vhod → logika → izhod, skupaj s povezavami. Pri zaporedni kombinaciji podsistemov z znanimi PFH se vrednosti seštejejo. PL celote omejujeta rezultat seštevanja in najnižji PL kateregakoli podsistema.
Trije podsistemi s po 4 × 10⁻⁸ 1/h skupaj dajo 1,2 × 10⁻⁷ 1/h, kar pomeni PL d. Vsak zase je bil še v območju PL e. Račun je preprost: celotna funkcija ima več mest, na katerih lahko nevarno odpove. Podrobnosti prikazuje članek o izračunu PL po ISO 13849-1.
Po prekinitvi napajanja trak potrebuje še čas, da se ustavi. Zaščita mora delovati, preden človek doseže nevarnost. Povezavo dobro pokaže primer razdalje varnostne svetlobne zavese po spremembi odzivnega časa. Pri združevanju podsistemov, ocenjenih z različnimi metodami, pomaga tudi primerjava ISO 13849-1 in IEC 62061.
Čez nekaj let bo nekdo zamenjal K1
Novi kontaktor ima isti nazivni tok in se prilega na letev. Serviser pa potrebuje tudi pravi zrcalni kontakt, ustrezne čase delovanja in podatke o trajnosti. Te lastnosti so bile del projekta. Zapis »24 V, enako število amperov« izpusti ravno tisto, kar potrebuje diagnostika.
Dokumentacija mora pokazati, zakaj je bil aparat izbran, kaj sistem nadzoruje in kako reagira na napako. Brez nje ostaneta telefonski klic avtorju programa in upanje, da se po letih spomni razloga za vsak pogoj. Tako je utemeljitev projekta odvisna od spomina ene osebe.
Izsek iz obrazca OUT-01 — predpostavke primera K1–K2
| Polje | Zapis |
|---|---|
| Obseg | Izhodni podsistem K1–K2 s povezavami in nadzorom; naloga: prekinitev napajanja pogona. |
| Obravnavana napaka | K1 ostane zaprt kljub ukazu za izklop. |
| Zahtevana reakcija | K2 samostojno odklopi pogon. Manjkajoča vrnitev povratnega signala K1 razkrije napako in prepreči ponovni vklop. |
| Zahtevani dokaz | Analiza napak ter preizkus T-01: preverjanje odklopa prek K2, odzivnega časa, zaznave in blokade. Rezultat se zapiše za konkretno različico vezja. |
Celotna kartica tak zapis poveže s SRS, različico sheme, podlagami za MTTFD, DCavg in CCF ter rezultati validacije. Utemelji tudi uporabljene izključitve napak.
Prenesite kartico utemeljitve kategorije (PDF, angleško): primer K1–K2 in obrazec za lasten projekt sta združena v eni datoteki s polji za izpolnjevanje na računalniku.
Vodji ni treba osebno izračunavati PFH. Od dobavitelja lahko zahteva prikaz ene napake na shemi: kaj odpove, kaj človeka še vedno varuje, kdaj krmilje opazi težavo in kje je zapisan rezultat preverjanja. To je precej boljši pogovor kot vprašanje o znamki releja.
Dva kontaktorja sta postavka na nabavnem seznamu. Šele njuno delovanje, diagnostika in utemeljitev zasnove omogočijo določitev kategorije.
Viri
Primeri transporterja, kontaktorjev in ventilov pojasnjujejo zahteve. Vrednosti PFH in pripadajoči PL izhajajo iz preglednice K.1 navedenega standarda.
- ISO 13849-1:2023: točke 4.5, 5.1, 5.2.1 in 5.3–5.5 – informacije iz ocene tveganja, SRS, PLr in razdelitev na podsisteme; definicije 3.1.45–3.1.47 ter točke 6.1.3.1–6.1.3.2.1 – podsistem, kanal in arhitekture.
- ISO 13849-1:2023: točke 6.1.3.2.2–6.1.3.2.6 – zahteve kategorij B–4, reakcije na napake, preizkušanje in kopičenje napak; definiciji 3.1.49–3.1.50 ter točka 6.1.11 – preizkušena varnostna načela in komponente.
- ISO 13849-1:2023: preglednice 2, 6 in 7, točke 6.1.4–6.1.5 in 6.1.8, priloge C–E ter preglednica K.1 z opombama 1–2 – PL, PFH, MTTFD, DC, podatki o trajnosti, število preklopov in predpostavke številčnih modelov.
- ISO 13849-1:2023: točka 6.1.6, priloga F in preglednica F.1 – CCF, ukrepi za omejitev skupnih izpostavljenosti, točkovna ocena in prag 65 točk; F.3.2 – raznolikost; F.3.3 in F.3.6 – zaščita, motnje in delovno okolje.
- IEC 60947-4-1:2018: točka 8.2.5.1 – usklajenost kontaktorjev s kratkostično zaščito in koordinacija tipa 2; točke 8.2.4.3.1–8.2.4.3.2 in priloga B – mehanska in električna trajnost; priloga F – lastnosti in prepoznavanje zrcalnih kontaktov.
- ISO 13849-1:2023: točka 6.1.10, definicije 3.1.29–3.1.30 in 3.1.51–3.1.52, priloga E in preglednica E.1 – analiza napak, spremljanje, preizkušanje in preverjanje verodostojnosti; poglavje 7 in priloga N – programska oprema in predhodno ocenjene platforme; točka 13.2 – informacije za integracijo.
- ISO 4413:2010: točka 5.4.4.1 – tesnost in primernost ventilov za uporabo, povezano z varnostjo; točke 5.4.7.1–5.4.7.2.1 – nenamerno gibanje, izolacija energije in sprostitev tlaka.
- ISO 13849-1:2023: točka 6.2.2 in poglavje 8 – kombiniranje podsistemov, vsota PFH in omejitve doseženega PL; točka 5.2.2.2 – ustavljanje; točke 10.1.1–10.1.2 in 10.8 ter poglavje 12 – validacija, zapisniki in tehnična dokumentacija.