”Två kontaktorer och ett säkerhetsrelä, alltså kategori 3.” I apparatskåpet ser allt rätt ut. Samma sak på inköpslistan. Först när en kontaktor svetsar fast visar sig hur mycket av ordningen som faktiskt finns kvar.
Operatören öppnar transportörens skydd. Styrningen kopplar bort spolen till K1, men kontakterna har svetsats samman. Motorn får fortfarande spänning. Kommandot var korrekt. Kontaktorn utförde det bara inte.
En andra kontaktor kan rädda frånkopplingen. Diagnostiken kan upptäcka felet och blockera nästa start. Allt beror på hur konstruktören har byggt systemet. Att skriva ”kategori 3” i dokumentationen är den minst arbetskrävande delen.
Säkerhetskategorier enligt ISO 13849-1 beskriver ett delsystems feltålighet och beteende efter ett fel. Skillnaden mellan kategori B, 1, 2, 3 och 4 blir tydligast när samma uppgift används hela vägen: att bryta drivningens matning även när något i systemet går sönder. Vid godkännandeprov kan varje felfritt system se övertygande ut. Kategorin börjar tala först när systemet inte längre är felfritt.
Först uppgiften, sedan apparaterna i skåpet
Operatören ska korrigera en detalj. Bandet måste stanna innan personen kan nå riskområdet och förbli stoppat under arbetet med öppet skydd. Konstruktören härleder kraven ur en riskbedömning enligt ISO 12100 och dokumenterar dem därefter i en specifikation av säkerhetskrav – SRS.
Den fullständiga säkerhetsfunktionen omfattar detektering av öppnat skydd, styrningens beslut och frånkoppling av drivningen. Varje del kan behandlas som ett eget delsystem. I exemplen nedan ändras utgångsdelsystemet: kontaktorerna, deras anslutningar och övervakningen. Dess delfunktion är att bryta drivningens matning.
En kontaktor fungerar som en elektriskt manövrerad brytare. Spänning på spolen sluter huvudkontakterna och låter strömmen gå till motorn. När spolen kopplas bort öppnar en fungerande kontaktor kontakterna. Sammansvetsade kontakter tar bort just den förmågan.
Med två kontaktorer, K1 och K2, går motorströmmen genom båda i serie. Om en av dem öppnar bryts kretsen. Varje kontaktor med sin styrning utgör en separat frånkopplingsväg, alltså en kanal.
Kategori B: K1 har svetsat fast. Matningen ligger kvar
Drivningen kopplas bort med en enda kontaktor, K1. När skyddet öppnas kopplar styrningen bort spolen, kontakterna öppnar och motorn förlorar matningen. Det kan fungera perfekt i tusentals cykler.
Vid nästa inkoppling svetsas kontakterna samman. Transportören fortsätter gå, så operatören märker ännu ingenting. Sedan öppnas skyddet. Spolspänningen försvinner, men motorströmmen fortsätter att flyta. Det finns ingen andra komponent som kan bryta den.
Ett enda fel har tagit bort delsystemets förmåga att koppla bort drivningen. Om spolledningen i stället hade brutits skulle en fungerande kontaktor ha fallit. Det är ett annat fel med en annan konsekvens. Påståendet ”vid fel faller kontaktorn” fungerar utmärkt så länge man själv får välja vilket fel som inträffar.
Kategori B kräver grundläggande säkerhetsprinciper och komponenter som är dimensionerade för de verkliga förhållandena. Kontaktorn ska tåla lasten, kopplingsfrekvensen och temperaturen i skåpet. Bokstaven B är inget tillstånd att montera det som råkade ligga kvar på lagret.
När ger kategori B PL a, och när ger den PL b?
Två system kan se identiska ut men ha olika frekvens av farliga fel. Den ena kontaktorn startar en motor en gång per skift. Den andra kopplar vid varje detalj. Samma modell. Helt olika antal manövrer.
Konstruktören tar hänsyn till apparatens livslängd och maskinens verkliga drift. Resultatet uttrycks som MTTFD, den genomsnittliga tiden till farligt fel. Ju högre värde, desto mer sällan förväntas sådana fel statistiskt. För kanalen måste alla komponenter vars fel kan förstöra frånkopplingsförmågan räknas med.
| MTTFD för kanalen | PFH – genomsnittlig frekvens av farligt fel per timme | Uppnådd PL |
|---|---|---|
| 10 år | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 år | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 år | 5,71 × 10⁻⁶ 1/h | PL b |
Vid 10 år blir resultatet PL a. Vid 12 år blir det PL b eftersom PFH har sjunkit under gränsen 10⁻⁵ 1/h. Tillförlitligheten har förändrats. Efter sammansvetsning beter sig båda systemen fortfarande likadant.
MTTFD är en statistisk parameter. ”20 år” i beräkningen innebär varken tjugo års garanti eller ett automatiskt bytesdatum. Bytesintervallet måste bestämmas utifrån apparatens användningsvillkor och begränsningar.
Värdena gäller utgångsdelsystemet. För hela funktionen tillkommer PFH för givare och logik: PFH för ingång + PFH för logik + PFH för utgång. Summan jämförs med PL-intervallen, och resultatet begränsas dessutom av det lägsta PL-värdet bland delsystemen. Ett utgångsdelsystem med PL b kan därför ge en fullständig funktion med PL a.
Kategori B kan som högst nå PL b. Om erforderlig prestandanivå, PLr, är d krävs en annan lösning. Ytterligare en lyckad öppning av skyddet under provningen flyttar inte gränsen. Allt vilar på en kanal. När K1 svetsar fast försvinner skyddet.
Kategori 1: samma problem ska inträffa mer sällan
Drivningen kopplas fortfarande bort med en enda K1. Skillnaden är att konstruktören höjer kraven på tillförlitlighet och användning. Utöver kraven för kategori B används beprövade komponenter och beprövade säkerhetsprinciper. I den förenklade metoden ska kanalens MTTFD vara hög, från 30 till 100 år.
”Beprövad” gäller under bestämda driftförhållanden. En apparat som i åratal problemfritt har kopplat värmeelement får nu hantera en motor med hög startström och täta starter. Logotypen är bekant. Belastningen är det inte.
Valet ska bygga på dokumenterad erfarenhet från jämförbara tillämpningar eller egenskaper som har visats genom konstruktion, verifiering och validering enligt relevanta standarder. ISO 13849-2 anger också komponenter och villkor för när de kan betraktas som beprövade.
Konstruktören använder principer som begränsar uppkomsten av fel eller deras farliga följder. Sedan svetsar K1 ändå fast. Spolen kopplas bort, kontakterna förblir slutna och motorn är fortfarande spänningssatt. Kategori 1 minskar sannolikheten för händelsen. Den skapar ingen andra kanal.
Högre tillförlitlighet: från PL b till PL c
Med MTTFD lika med 30 år ger tabell K.1 PL b. Vid 39 år sjunker PFH under 3 × 10⁻⁶ 1/h och resultatet går över till PL c.
| MTTFD för kanalen | PFH – genomsnittlig frekvens av farligt fel per timme | Uppnådd PL |
|---|---|---|
| 30 år | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 år | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 år | 1,14 × 10⁻⁶ 1/h | PL c |
Taket för kategori 1 är PL c. En bättre apparat har ett verkligt värde: den går sönder mer sällan. Men när K1 väl svetsar fast finns fortfarande ingen andra frånkopplingsväg. Skyddet vilar på hög tillförlitlighet i en enda kanal, och ett fel i kanalen kan fortfarande slå ut det.
Kategori 2: systemet kontrollerar om K1 utförde kommandot
Operatören öppnar skyddet. Styrningen kopplar bort K1 och väntar på bekräftelse på att kontakterna har öppnat. Nu ska kommandots utförande kontrolleras.
Återkopplingen kommer från kontaktorns spegelkontakt. Konstruktionen hindrar spegelkontakten från att sluta när en huvudkontakt är sammansvetsad. Systemet får alltså besked: K1 öppnade kretsen, eller K1 utförde inte kommandot.
K1 har svetsat fast. Bekräftelsen uteblir. Testet upptäcker felet och utlöser en reaktion. I detta exempel bryter en extra kontaktor, KT, som ligger i serie med K1, matningen. Styrningen blockerar nästa start tills felet har avhjälpts.
I standarden betecknas testenheten TE och dess utgång OTE. Här styr OTE kontaktorn KT. K1 ingår i den funktionella kanalen som utför den normala frånkopplingen. TE och OTE bildar testkanalen som kontrollerar uppgiften och initierar reaktionen vid fel.
Det finns två kontaktorer i skåpet, men detta är fortfarande ett exempel på kategori 2. KT får uppgiften att koppla bort först efter att ett problem med K1 har upptäckts. Redan här förlorar apparaträkning mot schemaläsning.
Fungerade i går. Vid dagens inkoppling är kontakterna redan svetsade
K1 klarar testet. Vid nästa inkoppling svetsas kontakterna samman. Fram till nästa kontroll är den funktionella kanalen felaktig. Det förra testresultatet dolde ingenting. Maskinen hann helt enkelt gå sönder efter testet.
Därför kan kategori 2 förlora delfunktionen mellan två tester. Konstruktören måste bestämma när testet ska göras och hur snabbt systemet ska reagera. Om kontrollen börjar när skyddet öppnas måste upptäckten, frånkopplingen via KT och stoppet ske innan personen kan nå riskområdet.
Vid PLr d ska OTE initiera ett säkert tillstånd och hålla det tills felet är avhjälpt. Här sköter KT den uppgiften. Ett rött meddelande på skärmen skulle lämna motorn spänningssatt. Operatören skulle åtminstone få en ovanligt tydlig förklaring till varför skyddet inte fungerar.
Testfrekvens och reaktionstid enligt standarden: Punkt 6.1.3.2.4 kräver en testfrekvens som är minst 100 gånger högre än frekvensen för anrop av funktionen, eller test omedelbart när funktionen anropas, så att felet upptäcks och maskinen förs till ett icke-farligt tillstånd innan riskområdet kan nås. Här är öppningen av skyddet själva funktionsanropet. Förhållandet 100:1 betyder inte hundra prov före varje öppning.
MTTFD för testkanalen TE–OTE ska vara större än hälften av MTTFD för den funktionella kanalen. Varje del i den funktionella kanalen behöver minst låg diagnostisk täckningsgrad. Kraven för kategori B, beprövade säkerhetsprinciper och åtgärder mot fel med gemensam orsak i båda kanalerna gäller också.
För PLr till och med c ska OTE initiera ett säkert tillstånd om det är praktiskt genomförbart. Om det inte är möjligt medger standarden att en varning kan vara tillräcklig. Vid PLr d krävs en reaktion som ger säkert tillstånd.
Testning kan ge PL d. Tillförlitligheten räknas också
DC, diagnostisk täckningsgrad, beskriver hur effektivt farliga fel upptäcks. För hela delsystemet bestäms DCavg med hänsyn till frekvensen av sådana fel i de olika delarna.
Med samma DCavg = 90% ger kategori 2 enligt tabell K.1 PL a när MTTFD för den funktionella kanalen är 3 år, PL b vid 10 år, PL c vid 30 år och PL d vid 100 år. Testet finns i varje variant. Det som varierar är hur ofta systemet måste hantera fel.
| MTTFD för den funktionella kanalen | PFH – genomsnittlig frekvens av farligt fel per timme | Uppnådd PL |
|---|---|---|
| 3 år | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 år | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 år | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 år | 2,29 × 10⁻⁷ 1/h | PL d |
I kategori 2 beror skyddet på om testet upptäcker felet och om systemet hinner reagera. Kontrolltiden är en del av konstruktionen, inte en detalj som kan läggas till efteråt.
Kategori 3: K2 kopplar bort utan att invänta testresultatet
K1 och K2 ligger i serie i motorns matning. När operatören öppnar skyddet beordrar styrningen båda att koppla bort. Varje kontaktor har sin egen styrväg och kan ensam bryta matningen.
K1 förblir sluten på grund av sammansvetsade kontakter. K2 öppnar och bryter strömmen. Den andra kanalen utför säkerhetsuppgiften trots felet i den första.
Det är den avgörande skillnaden mot kategori 2. Där ingriper KT efter att testet har upptäckt felet i K1. Här får K2 frånkopplingskommandot därför att skyddet öppnas. K2 behöver inte invänta någon diagnos av K1.
Transportören stannade. Reparationen behövs fortfarande
Operatören ser samma resultat som vanligt: bandet stannar. I skåpet är en kontaktor redan defekt. Diagnostiken upptäcker att K1 inte bekräftar öppet läge och blockerar nästa start.
K2 utförde uppgiften åt den felaktiga kanalen. Den reparerade inte K1 på köpet. Om styrningen tillät fortsatt drift med det upptäckta felet skulle nästa frånkoppling bara bero på K2.
Kategori 3 kräver att delfunktionen bibehålls vid ett enskilt fel. Kravet gäller komponenter och anslutningar i hela det bedömda delsystemet. Om ett enda fel i styrningen kan hålla båda spolarna spänningssatta kan båda kontaktorerna felfritt utföra fel kommando.
Kategori 3 kräver dessutom minst låg diagnostisk täckningsgrad. Ett enskilt fel ska upptäckas när funktionen anropas eller före nästa anrop, när det är praktiskt motiverat. Vissa fel kan förbli oupptäckta. Om de senare ansamlas kan skyddet gå förlorat. Där börjar skillnaden mot kategori 4.
Kategori 3 kan nå PL c, d eller e
Vid DCavg = 90% och MTTFD på 10 år för varje kanal ger tabell K.1 PL c. Vid 30 år blir resultatet PL d och vid 100 år PL e. ”Kategori 3 betyder PL d” är en bekväm genväg som tappar bort två fullt möjliga resultat.
| MTTFD för varje kanal | PFH – genomsnittlig frekvens av farligt fel per timme | Uppnådd PL |
|---|---|---|
| 10 år | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 år | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 år | 4,29 × 10⁻⁸ 1/h | PL e |
MTTFD gäller varje kanal separat. Två kanaler med 30 år vardera blir inte en kanal med MTTFD lika med 60 år. Kraven för kategori B, beprövade säkerhetsprinciper och åtgärder mot fel med gemensam orsak gäller också.
K2 kopplar bort drivningen trots felet i K1. Diagnostiken avgör om systemet får tillstånd att starta en ny cykel.
Kategori 4: även fel som diagnostiken missar blir avgörande
När K1 svetsar fast kopplar K2 bort drivningen, och styrningen blockerar nästa start. Samma sak hände i kategori 3. Skillnaden syns först när analysen breddas: Vad upptäcker systemet? När upptäcks det? Och vad händer med felen som inte upptäcks?
I kategori 4 ska ett enskilt fel lämna funktionen intakt och upptäckas när funktionen anropas eller före nästa anrop. Om sådan upptäckt inte är möjlig ska även en ansamling av fel lämna skyddet verksamt.
Systemet kontrollerar också om bekräftelsen talar sanning
Varje kontaktor har en separat övervakad spegelkontakt. Styrningen kontrollerar svaret under hela cykeln:
- Före start är båda kontaktorerna bortkopplade. Spegelkontakterna ska bekräfta öppna huvudströmbanor.
- När en kontaktor kopplas in ska bekräftelsen av öppet läge försvinna inom angiven tid.
- När kontaktorn kopplas bort ska bekräftelsen återkomma.
Vid sammansvetsad K1 återkommer den inte. K2 bryter drivningen och logiken blockerar återstart.
Varför måste även bekräftelsens frånvaro kontrolleras? Därför att spegelkontaktens två ledare kan kortslutas. Då säger signalen hela tiden ”K1 öppen”, även när kontaktorn har kopplats in. Ett system som bara kontrollerar signalens närvaro före start skulle godta en falsk bekräftelse.
Kontroll av signalväxlingen avslöjar motsägelsen: K1 har fått inkopplingskommando, men informationen ”öppen” ligger kvar. Styrningen kopplar bort utgångarna och blockerar drift. Operatören kan trycka på återställning hur många gånger som helst. Knappen separerar varken kortslutna ledare eller sammansvetsade kontakter.
Sådan diagnostik kan även användas i kategori 3. Det som avgör kategori 4 är hela delsystemets beteende vid de analyserade felen och deras ansamling. Även styrkretsar, återkoppling och konsekvenserna av deras fel måste analyseras.
Två ventiler visar varför detta spelar roll
V1 och V2 är sätesventiler som ligger i serie i oljematningen till en cylinder. Var och en kan ensam stänga flödet. Givare övervakar stängningselementens position.
Tätningen i V1 skadas. Stängningselementet når läget ”stängd”, men olja läcker genom det skadade sätet. Lägesgivaren talar fortfarande sanning. Den fungerande V2 stoppar flödet, så ingenting händer i maskinen.
Senare börjar V2 läcka av en oberoende orsak. Flödet genom båda ventilerna räcker nu för en farlig cylinderrörelse. Skärmen visar fortfarande två bekräftelser på ”stängd”. De stämmer perfekt överens och är fullständigt värdelösa för att hitta felet.
Detta är en ansamling av oupptäckta fel som kan slå ut skyddet i kategori 3. För kategori 4 måste förloppet brytas: ett relevant läckage ska upptäckas i tid, eller också ska funktionen bibehållas trots den analyserade felkombinationen.
Ett separat täthetsprov av varje ventil kontrollerar just det som lägesgivaren inte ser. Läckage kan exempelvis höja trycket i ett avgränsat testutrymme bakom ventilen, isolerat från cylindern. En tryckgivare upptäcker ökningen och systemet blockerar fortsatt drift.
Om båda stängda ventilerna provades samtidigt skulle en tät V2 kunna dölja läckaget genom V1. Tröskelvärde och provtid måste avslöja ett säkerhetsrelevant läckage innan en fara uppstår. Konstruktionen måste också hantera resttrycket efter ventilerna. Att stoppa ny tillförsel tar inte bort den energi som redan finns lagrad.
99% måste komma från diagnostikens verkliga funktion
Kategori 4 kräver hög DCavg, minst 99%, och hög MTTFD för varje kanal. De 99 procenten avser frekvensen av upptäckta farliga fel. Att upptäcka nio sällsynta feltyper men missa ett vanligt fel kan ge ett dåligt resultat. Checklistan ser bättre ut än skyddet.
Vid DCavg = 99% ger tabell K.1 PL e för kategori 4 både vid MTTFD 30 år och 100 år. PFH-värdena skiljer sig men ligger inom samma prestandanivå.
| MTTFD för varje kanal | PFH – genomsnittlig frekvens av farligt fel per timme | Uppnådd PL |
|---|---|---|
| 30 år | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 år | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 år | 9,06 × 10⁻¹⁰ 1/h | PL e |
För kategori 4 medger modellen MTTFD upp till 2 500 år per kanal. Det är fortfarande en statistisk parameter. Kraven för kategori B, beprövade säkerhetsprinciper och åtgärder mot fel med gemensam orsak gäller fortfarande.
Punkt 6.1.3.2.6 anger att det i praktiken kan räcka att analysera kombinationer av två fel. Att utesluta oupptäckta fel med mycket låg sannolikhet kräver en dokumenterad och verifierad analys, exempelvis FMEA.
Diagnostiken ska kontrollera förmågan att utföra uppgiften. En ventil kan sanningsenligt bekräfta rätt läge och ändå släppa igenom olja.
Fem kategorier, en sammansvetsad K1
I kategori B och 1 lämnar sammansvetsad K1 motorn spänningssatt. I kategori 2 kopplar KT bort efter att TE har upptäckt felet. I kategori 3 och 4 kopplar K2 bort eftersom kontaktorn får frånkopplingskommandot samtidigt som skyddet öppnas. Diagnostiken hittar felet och blockerar nästa cykel.
Två kontaktorer kan förlora mot samma kortslutning
Hittills har K1 gått sönder och K2 räddat frånkopplingen. Men anta att en kortslutning uppstår efter K2. Kortslutningsströmmen går genom båda slutna kontaktorerna och skadar båda. Den andra kanalen har träffats av samma orsak som den första.
Detta är CCF, fel med gemensam orsak. I kategori 3 och 4 gäller det båda funktionella kanalerna. I kategori 2 gäller det den funktionella kanalen och testkanalen. Gemensamma exponeringar måste begränsas med konkreta konstruktionsåtgärder.
K2 sluter först och öppnar sist
Först sluter K2. K1 är fortfarande öppen, så ingen motorström flyter. Därefter sluter K1 kretsen och kopplar in lasten. Vid frånkoppling används omvänd ordning: K1 bryter strömmen och K2 öppnar något senare, utan lastström.
Båda leder samma ström under drift, men kopplingsförhållandena skiljer sig. K2 slipper normalt startströmmen och själva brytningen av lasten, vilket minskar det elektriska slitaget. Mekanismen utför fortfarande varje rörelse, så det mekaniska slitaget finns kvar.
K2 måste ändå vara dimensionerad för att ensam bryta full last. När K1 har svetsat fast är det exakt vad K2 måste göra. Frånkopplingen ska ske inom fastställd tid utan att invänta bekräftelse från K1. Den bekräftelsen kommer ju inte när kontakterna är sammansvetsade.
Fördröjningar och apparattider måste rymmas inom säkerhetsfunktionens erforderliga reaktionstid.
Kortslutningsskyddet ska begränsa följderna av den gemensamma händelsen
Kopplingssekvensen ger olika påkänningar vid normal till- och frånkoppling. Vid en kortslutning med båda kontaktorerna slutna belastar strömmen båda. Skyddet F måste bryta strömmen. Konsekvenserna bestäms av strömmens storlek och hur länge den flyter.
Konstruktören bestämmer den förväntade kortslutningsströmmen på installationsplatsen och kontrollerar kombinationen av specifik kontaktor, skyddets typ och märkström, spänning och användningsvillkor. Tillverkarens data används för samordningen. Motorns märkström räcker inte som underlag.
Sammansvetsade kontakter kan förbli slutna även efter att F har löst ut. Säkringen bryter strömmen. Reparation av kontaktorer ingår inte i tjänsten. Före återstart måste båda apparaterna kontrolleras och skadorna åtgärdas.
Samordning typ 2 och sammansvetsade kontakter: IEC 60947-4-1:2019-05, punkt 8.2.5.1, medger att kontakter kan svetsas samman även vid samordning typ 2. Tillverkaren anger vilka underhållsåtgärder som krävs. Ett annat skydd än det rekommenderade kan upphäva samordningen.
Gemensam kabelväg, gemensam matning, gemensam överhettning
Ledningarna till båda spolarna ligger i samma bunt. Om bunten kläms kan båda styrsignalerna kortslutas mot +24 V. Separata, skyddade kabelvägar och skilda anslutningspunkter minskar risken att ett fel omfattar båda kanalerna.
En gemensam nätaggregatsenhet kan efter ett fel leverera för hög spänning. Konstruktören måste kontrollera dess felbeteende och använda lämplig spänningsbegränsning eller externt skydd för de matade kretsarna.
Båda kontaktorerna sitter ovanför frekvensomriktaren. När skåpfläkten stannar överskrids tillåten temperatur. Placering, avstånd och kylning måste dimensioneras även för det fallet. Ett öppet apparatskåp under godkännandeprov har nästan alltid fantastisk ventilation.
Båda kanalerna ligger bredvid frekvensomriktarens motorledningar. Separering, skärmning och potentialutjämning hjälper mot gemensam elektromagnetisk påverkan. Immuniteten måste motsvara apparaternas verkliga driftmiljö.
Bilaga F strukturerar CCF-bedömningen med poäng. Metoden kräver minst 65 poäng för införda åtgärder. Exempel är kanalseparering 15, skydd mot relevanta överströmmar och överspänningar 15, åtgärder mot elektromagnetiska störningar 25 och övriga miljöfaktorer 10.
Resultatet kan motiveras även med identiska kontaktorer. Variation i konstruktion, teknik, belastning eller tillverkare kan ge upp till 20 poäng i en post. Två varumärken på samma produkt är fortfarande samma produkt. En post måste vara fullständigt genomförd i det bedömda delsystemet. Delvis genomförande ger noll poäng.
Den andra kanalen hjälper bara om en gemensam orsak inte tar bort båda kanalernas funktionsförmåga.
Var finns de två kanalerna i givaren, reläet och PLC:n?
K1 och K2 går att peka på. I elektronik kan två kanaler finnas i samma kapsling. ISO 13849-1 beskriver den logiska strukturen. Den interna lösningen i en viss produkt bestäms och redovisas av tillverkaren.
Två givare vid samma skydd
De induktiva givarna S1 och S2 känner av ett metallmål på det stängda skyddet. Varje givare skickar sin egen signal till en separat styringång. Drift kräver två bekräftelser på ”stängt”.
S1 går sönder och visar ständigt ”stängt”. Operatören öppnar skyddet och metallen lämnar båda givarna. Den fungerande S2 växlar signal, och styrningen beordrar stopp. Det räcker att en bekräftelse försvinner.
En säkerhetsgivare med två OSSD-utgångar
En induktiv säkerhetsgivare kan innehålla diagnostik och två övervakade elektroniska OSSD-utgångar. När metallen flyttas bort kopplas båda utgångarna från och begär stopp. Diagnostiken övervakar också deras förmåga att gå till frånläge.
En vanlig givare kan ha två utgångar som ser annorlunda ut men styrs av samma interna detektering. NO-utgången sluter när metall upptäcks och NC-utgången öppnar. Om elektroniken felaktigt detekterar metall vid öppet skydd beter sig båda utgångarna precis som vid stängt skydd. Kontroll av motsatta signalnivåer hittar inte felet. Styrningen har fått två versioner av samma misstag.
Samma problem uppstår om en signal bara förgrenas till två ingångar.
Säkerhetsrelä och styrsystem
I ett klassiskt säkerhetsrelä arbetar två interna reläer, R1 och R2. Deras kontakter för drifttillstånd ligger i serie. Om en kontakt i R1 svetsar fast kan R2 fortfarande öppna utgången. Mekaniskt tvångsstyrda övervakningskontakter gör det möjligt att upptäcka sammansvetsningen och blockera återstart.
En säkerhetsrelaterad PLC kan använda två processorer och jämföra resultaten. Om den ena beräknar körtillstånd och den andra stopp uppstår en avvikelse som utlöser skyddsreaktionen. Testerna kan även omfatta minne, programexekvering, ingångar och utgångar.
Två programkopior i en vanlig PLC kan däremot köras på samma processor. Ett processorfel träffar båda kopiorna. Det är enklare att kopiera kod än att bygga feltålighet. Resultatet är också ett annat.
Ljusridå
Operatören bryter strålarna mellan sändare och mottagare. Ljusridån kopplar bort OSSD1 och OSSD2. Om defekta OSSD1 ligger kvar i tilläge räcker frånkopplingen av OSSD2 för att den anslutna styrningen ska beordra stopp.
Varje utgång ansluts till sin avsedda ingång. Diagnostiken omfattar utgångarna och anslutningarna. I produktdokumentationen kontrollerar konstruktören uppnådd PL, kategori, reaktionstid och föreskriven inkoppling. Först då går det att använda ett färdigbedömt delsystems egenskaper korrekt i den aktuella säkerhetsfunktionen.
Samma PL, olika beteende efter ett fel
En konstruktör uppnår PL d med kategori 2. En annan uppnår PL d med kategori 3. Båda resultaten kan vara korrekta. Den första använder en mycket tillförlitlig, testad funktionell kanal. Den andra använder två funktionella kanaler.
| Kategori | MTTFD för kanal | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 år | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 år | 90% | 2,65 × 10⁻⁷ | d |
I kategori 2 gäller angiven MTTFD den funktionella kanalen. I kategori 3 gäller värdet var och en av de två kanalerna. Båda PFH-värdena ligger inom PL d, men kategori 2 kan förlora delfunktionen mellan testerna. Kategori 3 behåller den efter ett enskilt fel.
Om SRS eller en maskinspecifik typ C-standard kräver att funktionen ska bibehållas efter ett enskilt fel måste konstruktionen ge just detta beteende. Bokstaven d avgör inte ensam valet.
Samma kategori, bättre diagnostik
I kategori 3, med MTTFD lika med 100 år för varje kanal, flyttar en ökning av DCavg från 60% till 90% resultatet från PL d till PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
Högre diagnostisk täckningsgrad måste komma från effektivare feldetektering och rätt reaktion. Kontroll av återkopplingens signalväxling kan upptäcka en kortslutning som ständigt bekräftar öppen kontaktor. Sådana lösningar förändrar systemets verkliga beteende. Att ändra ett fält från 60 till 90% i beräkningsprogrammet förändrar tills vidare bara utskriften.
Antaganden för exemplen från tabell K.1: Värdena kommer från delsystemsmodellerna i ISO 13849-1:2023-09. Metoden i punkt 6.1.8 utgår från 20 års avsedd användning, konstanta felfrekvenser och tillräckliga CCF-åtgärder. Komponenter som slits ut tidigare måste hanteras enligt sina användningsbegränsningar.
För kategori 2 gäller dessutom kraven på testkanalen samt testfrekvensen eller reaktionstiden vid funktionsanrop. Vid periodisk testning motsvarar visade PFH ett förhållande mellan testfrekvens och anropsfrekvens på minst 100:1. Anmärkning 1 till tabell K.1 anger en uppskattning för minst 25:1 genom att tabellvärdet för PFH multipliceras med 1,1.
Tabellvärdena för låg, medelhög och hög DCavg har beräknats med 60%, 90% respektive 99%. PL anger prestandanivån. Kategorin förklarar hur systemet hanterar fel. Båda behövs för att välja rätt lösning.
Kontaktorerna kan bryta. Men kommandot kom aldrig
Delsystemet K1–K2 uppnår PL e. Skyddsgivaren meddelar dock felaktigt logiken att dörren är stängd. Styrningen tillåter rörelse, så båda kontaktorerna ligger kvar. De kan vara felfria och perfekt övervakade. Problemet uppstod tidigare i kedjan.
Därför bedöms hela funktionen: ingång → logik → utgång, inklusive anslutningarna. För en seriekombination av delsystem med kända PFH summeras värdena. Den fullständiga funktionens PL begränsas både av summan och av det lägsta PL-värdet hos något delsystem.
Tre delsystem med 4 × 10⁻⁸ 1/h vardera ger totalt 1,2 × 10⁻⁷ 1/h, alltså PL d. Varje delsystem låg separat inom PL e. Matematiken är enkel: hela funktionen innehåller fler platser där ett farligt fel kan uppstå.
Detaljerna finns i artikeln om beräkning av PL enligt ISO 13849-1.
Efter att matningen har brutits behöver bandet fortfarande tid för att bromsa. Skyddet måste verka innan personen når faran. Sambandet syns tydligt i exemplet om ljusridåns avstånd efter ändrad reaktionstid.
Vid kombination av delsystem som har bedömts med olika metoder är även jämförelsen mellan ISO 13849-1 och IEC 62061 användbar.
Efter några år byter någon K1
Den nya kontaktorn har samma märkström och passar på skenan. Men serviceteknikern behöver också rätt spegelkontakt, rätt manövertider och tillförlitliga livslängdsdata. Dessa egenskaper var en del av konstruktionen.
Anteckningen ”24 V, samma antal ampere” utelämnar precis det som diagnostiken behöver. Dokumentationen ska visa varför apparaten valdes, vad systemet övervakar och hur det reagerar på fel. Annars återstår ett telefonsamtal till programmeraren och hoppet att personen minns orsaken till varje villkor. Då har konstruktionsmotiveringen blivit beroende av en människas minne.
| Fält | Dokumenterad uppgift |
|---|---|
| Omfattning | Utgångsdelsystem K1–K2 med anslutningar och övervakning. Uppgift: bryta drivningens matning. |
| Analyserat fel | K1 förblir sluten trots frånkopplingskommando. |
| Erforderlig reaktion | K2 kopplar självständigt bort drivningen. Utebliven återkoppling från K1 avslöjar felet och blockerar återstart. |
| Bevis som ska tas fram | Felanalys och prov T-01: kontroll av frånkoppling via K2, reaktionstid, detektering och blockering. Resultatet ska dokumenteras för den aktuella systemversionen. |
Det fullständiga kortet kopplar uppgifterna till SRS, schemaversionen, underlagen för MTTFD, DCavg och CCF samt valideringsresultaten. Det motiverar också använda feluteslutningar.
Ladda ned kortet för motivering av kategori (PDF, engelska): exemplet K1–K2 och en ifyllbar mall för det egna projektet finns i samma fil.
En chef behöver inte själv räkna PFH. Det räcker långt att be leverantören visa ett enda fel i schemat: Vad går sönder? Vad skyddar fortfarande människan? När upptäcker styrningen problemet? Var finns provresultatet?
Det ger ett betydligt bättre samtal än frågan om vilket fabrikat säkerhetsreläet har. Två kontaktorer är en rad på inköpslistan. Först deras funktion, diagnostik och dokumenterade konstruktionsmotivering gör det möjligt att tilldela en kategori.
Källor
Exemplen med transportör, kontaktorer och ventiler används för att förklara kraven. PFH-värdena och motsvarande PL kommer från tabell K.1 i ISO 13849-1:2023-09.
- ISO 13849-1:2023-09: punkterna 4.5, 5.1, 5.2.1 och 5.3–5.5 om information från riskbedömning, SRS, PLr och indelning i delsystem; definitionerna 3.1.45–3.1.47 samt punkterna 6.1.3.1–6.1.3.2.1 om delsystem, kanal och arkitekturer.
- ISO 13849-1:2023-09: punkterna 6.1.3.2.2–6.1.3.2.6 om kategori B–4, reaktion vid fel, testning och ansamling av fel; definitionerna 3.1.49–3.1.50 samt punkt 6.1.11 om beprövade säkerhetsprinciper och beprövade komponenter.
- ISO 13849-1:2023-09: tabellerna 2, 6 och 7, punkterna 6.1.4–6.1.5 och 6.1.8, bilagorna C–E samt tabell K.1 med anmärkningarna 1–2 om PL, PFH, MTTFD, DC, livslängdsdata, antal manövrer och modellernas antaganden.
- ISO 13849-1:2023-09: punkt 6.1.6, bilaga F och tabell F.1 om CCF, åtgärder mot gemensam exponering, poängbedömning och gränsen 65 poäng; F.3.2 om diversitet; F.3.3 och F.3.6 om skydd, störningar och driftmiljö.
- IEC 60947-4-1:2019-05: punkt 8.2.5.1 om kontaktorers samverkan med kortslutningsskydd och samordning typ 2; punkterna 8.2.4.3.1–8.2.4.3.2 och bilaga B om mekanisk och elektrisk livslängd; bilaga F om spegelkontakters egenskaper och identifiering.
- ISO 13849-1:2023-09: punkt 6.1.10, definitionerna 3.1.29–3.1.30 och 3.1.51–3.1.52 samt bilaga E och tabell E.1 om felanalys, övervakning, testning och rimlighetskontroll; kapitel 7 och bilaga N om programvara och tidigare bedömda plattformar; punkt 13.2 om information för integration.
- ISO 4413:2011: punkt 5.4.4.1 om täthet och ventilernas lämplighet för säkerhetsrelaterad användning; punkterna 5.4.7.1–5.4.7.2.1 om oavsiktlig rörelse, energiisolering och tryckavlastning.
- ISO 13849-1:2023-09: punkt 6.2.2 och kapitel 8 om kombination av delsystem, summering av PFH och begränsningar av uppnådd PL; punkt 5.2.2.2 om stopp; punkterna 10.1.1–10.1.2 och 10.8 samt kapitel 12 om validering, protokoll och teknisk dokumentation.