SIMATIC S7-1500T - Technologia Motion Control od strony praktycznej. Część 12

BEZPIECZEŃSTWO W UKŁADACH MOTION CONTROL

Bezpieczeństwo jest niezmiernie istotną kwestią związaną z obszarem instalacji przemysłowych. Nie chodzi tu jedynie o nadrzędne bezpieczeństwo ludzi, ale również o zabezpieczenie maszyn oraz mienia przed uszkodzeniem czy przed wywołaniem szkód w środowisku naturalnym - ogólnie przed wystąpieniem zdarzeń niebezpiecznych.

W wielu zakładach przemysłowych eliminacja ryzyka może zostać wykonana w łatwy sposób, bez konieczności nakładania rygorów na instalację. W przemyśle maszynowym, gdzie występują różnego rodzaju zagrożenia związane z ruchem urządzeń (np. prasy, roboty, piły, przenośniki), nie jest to już takie proste i wymaga zastosowania odpowiedniej struktury projektu.

Budowa systemu bezpiecznego z punktu widzenia prawa, a także wymagań użytkownika, powinna rozpocząć się już na etapie konceptu maszyny. Daje to sposobność zaprojektowania jej konstrukcji zgodnie z zasadami bezpieczeństwa i pozwala na jej wytworzenie, instalację, obsługę, konserwację, a po zakończeniu jej cyklu życia na utylizację - zgodnie z wytycznymi odpowiednich norm.

CZYM JEST SYSTEM FAIL-SAFE?

W obszarze krytycznych aplikacji, w których awarie mogą doprowadzić do zagrożenia życia ludzkiego, uszkodzenia instalacji technologicznej lub szkód związanych z zanieczyszczeniem środowiska, należy stosować systemy bezpieczne (tzw. fail-safe). Systemy takie redukują ryzyko związane z wypadkami dzięki temu, że w razie nieprawidłowości doprowadzają system do stanu bezpiecznego.

Układy typu fail-safe wykrywają sytuacje niebezpieczne oraz awarie urządzeń, a także własne, wewnętrzne błędy i usterki. Są one na ogół atestowane przez niezależne instytucje (w Niemczech TÜV).

OBOWIĄZUJĄCE NORMY

Podstawą prawną w budowie maszyn przeznaczonych na rynek europejski (oznakowanie CE) jest tzw. Dyrektywa Maszynowa Unii Europejskiej (www.uokik.gov.pl/download.php?plik=1455). Bezpośrednio z tej dyrektywy (tzw. nowego podejścia) wynikają normy zharmonizowane wyznaczające cechy konstrukcyjne oraz programowe urządzeń stwarzających potencjalne niebezpieczeństwo.

Dwie wiodące normy europejskie wyznaczone zostały przez komisję IEC (International Electrotechnical Commission) oraz organizację ISO (International Organization for Standardization).

Zgodność z Dyrektywą Maszynową może zostać zapewniona różnymi drogami:

• w ramach akceptacji maszyny przez autoryzowaną jednostkę badawczą,
• poprzez spełnienie wymagań norm zharmonizowanych (opis w dalszej części),
• przez dostarczenie dowodów bezpieczeństwa, co wiąże się ze zwiększonymi nakładami na badania i dokumentację.

EN/IEC 62061

Standard ten jest uszczegółowioną częścią bardziej rozległej normy (EN/IEC 61508) dotyczącej tzw. bezpieczeństwa funkcjonalnego związanego z bezpieczeństwem systemów elektrycznych, elektronicznych oraz programowalnych systemów elektronicznych. EN/IEC 62061 stanowi zbiór wytycznych przewidzianych dla ww. systemów w odniesieniu do bezpieczeństwa maszyn w automatyce przemysłowej. Norma obejmuje pełny łańcuch bezpieczeństwa - od czujnika do elementu wykonawczego.

Wymagania dotyczące działania nieelektrycznych elementów sterowania maszyn (np. hydraulicznych, pneumatycznych lub elektromechanicznych), związanych z bezpieczeństwem, nie są przedmiotem normy.

Bezpieczeństwo funkcjonalne

Norma IEC sprowadza się do realizacji koncepcji tzw. bezpieczeństwa funkcjonalnego. Z definicji - jest to podejście do wszystkich działań w cyklu życia systemów zawierających elektryczne i/lub elektroniczne i/lub programowalne elektroniczne elementy składowe nierozerwalnie związane z bezpieczeństwem technicznym.

SIL (Safety Integrity Level)

Nałożenie reguł bezpieczeństwa na system sterowania oraz konstrukcję maszyny w przypadku normy EN/IEC 62061 powoduje osiągnięcie odpowiedniego poziomu bezpieczeństwa, który określany jest jako tzw. poziom nienaruszalności bezpieczeństwa (Safety Integrity Level). W obszarze automatyki przemysłowej poziom SIL przyjmuje wartość od 1 do 3, gdzie SIL 3 to poziom najwyższy.

EN/ISO 13849-1

W przypadku normy ISO odnosimy się do bezpieczeństwa maszyn w rozumieniu elementów systemu sterowania związanych z bezpieczeństwem. Norma EN ISO 13849-1 ma szerokie zastosowanie i uwzględnia wszystkie technologie, w tym elektryczne, hydrauliczne, pneumatyczne i mechaniczne.

PL (Performance Level)

Stosując odpowiednie reguły bezpieczeństwa w stosunku do projektowanego układu zgodnie z wytycznymi EN/ISO 13849-1, osiągniemy tzw. poziom zapewnienia bezpieczeństwa (Performance Level). Przyjmuje on wartość od "a" do "e", gdzie PLe to poziom najwyższy.

KTÓRĄ NORMĘ STOSOWAĆ?

W celu dostosowania urządzenia do wymogów Dyrektywy Maszynowej możemy zastosować dowolną normę zharmonizowaną, czyli np. EN/ISO 13849-1 lub EN/IEC 62061. Obie te normy prowadzą do tych samych rezultatów, aczkolwiek przy zastosowaniu nieco odmiennych metod.

Normę EN/IEC 62061 łatwiej będzie narzucić na systemy wykorzystujące zaawansowane układy sterowania, natomiast norma EN/ISO 13849-1 jest wygodniejsza w układach podzespołów elektryczno-elektronicznych o niskim stopniu złożoności oraz pozwala na zastosowanie w konfiguracji z różnymi technologiami.

DOSTOSOWANIE MASZYNY DO WYMOGÓW BEZPIECZEŃSTWA

Procedura dostosowania ma na celu określenie poziomu wymogów, jakie powinna spełniać maszyna oraz ewentualne wskazanie środków, jakie należy przedsięwziąć, aby spełniała ona wymogi bezpiecznego użytkowania. Powinna składać się z kilku etapów, które umożliwią pełny opis maszyny: przegląd, ocena, plan, realizacja, nadzorowanie.

Szczegółowy opis proponowanych kroków dostępny jest w następującej lokalizacji sieciowej: www.automatyka.siemens.pl/docs/BM_ProcDostMaszyn.pdf

ANALIZA RYZYKA

W celu wyznaczenia wymaganego poziomu bezpieczeństwa - zgodnie z EN/IEC 62061 (SIL) lub EN/ISO 13849-1 (PL) - przewidziane zostały odpowiednie algorytmy pozwalające obliczyć poziom bezpieczeństwa, jaki powinien w danej aplikacji zostać spełniony.

Wyznaczając poziom SIL/PL dla budowanej maszyny, będziemy analizować potencjalne zagrożenia - rozmiar szkody, częstotliwość i/lub czas przebywania człowieka w strefie zagrożenia, prawdopodobieństwo jego wystąpienia oraz możliwość uniknięcia urazu. Precyzyjny opis takiej analizy dostępny jest w następującej dokumentacji technicznej: www.automatyka.siemens.pl/docs/docs_ia/Bezpieczenstwo_funkcjonalne.pdf

REALIZACJA FUNKCJI BEZPIECZEŃSTWA

Wiemy już, jakie obowiązują normy prawne, jak wyznaczyć ich poziom, a także jakie parametry urządzeń należy wziąć pod uwagę przy doborze komponentów układu. Pozostaje zatem zagadnienie, w jaki sposób zbudować system, który spełni określone wymagania bezpieczeństwa.

ŁAŃCUCH BEZPIECZEŃSTWA

Rys. 1.

Rozważając kompleksowo układ sterowania bezpiecznego, będziemy realizować odpowiednie funkcje fail-safe w poszczególnych obszarach tzw. łańcucha bezpieczeństwa.

Celem układu jest redukcja ryzyka wystąpienia zdarzeń niebezpiecznych do poziomu akceptowalnego. Poza standardowo zaimplementowaną funkcjonalnością (nadzór i sterowanie) układ powinien zostać zaprojektowany w taki sposób, aby zarówno błąd urządzenia, jak i usterka spowodowana przyczyną zewnętrzną (np. awaria czujnika czy stycznika) nie powodowały ograniczenia funkcji bezpieczeństwa.

W tym celu system oceny funkcji bezpieczeństwa musi monitorować nie tylko status generowanych sygnałów, ale również wewnętrzne błędy, zużycie podzespołów czy poprawność zasilania. W razie wykrycia stanu naruszającego bezpieczeństwo system przechodzi w zdefiniowany stan bezpieczny.

Zakres komponentów bezpiecznych układu sterowania możemy podzielić na trzy grupy.

Detekcja

Urządzeniami bezpieczeństwa służącymi do wykrywania lub sygnalizacji zagrożeń w torze bezpieczeństwa są elementy takie jak: stop awaryjny (e-stop), wyłącznik pozycyjny (linkowy/zawiasowy/magnetyczny), bariery/kurtyny świetlne, czujniki laserowe, bramy bezpieczeństwa, rygle, maty naciskowe, układy sterowania oburęcznego, panele HMI, etc.

Należy zwrócić uwagę, że w zależności od oczekiwanego poziomu bezpieczeństwa każdy z zastosowanych komponentów musi posiadać odpowiednią certyfikację, a co za tym idzie adekwatne funkcje bezpieczeństwa. Może być również wymagane specyficzne połączenie elektryczne (np. jedno- lub dwutorowe) albo sieciowe (komunikacja PROFISafe - również bezprzewodowo).

Ocena

Za logikę bezpieczeństwa funkcjonalnego, czyli ocenę stanu układu detekcyjnego oraz realizację zadań przez elementy wykonawcze, odpowiadać może w zaproponowanej strukturze np. układ elektryczny, przekaźnik bezpieczeństwa, sterownik PLC, przekształtnik częstotliwości czy układ monitorowania parametrów silnika (SIMOCODE).

W zależności od złożoności konstrukcyjnej układu, liczby sygnałów oraz elementów wykonawczych, a także wymaganych funkcji bezpieczeństwa, warto będzie optymalizować system zarządzania bezpieczeństwem. Wybór rozwiązania uzależniać powinniśmy od oczekiwanego poziomu bezpieczeństwa, nakładu pracy (programowanie, okablowanie) czy kosztu danego systemu. Dokładniejszą analizą tego zagadnienia zajmiemy się w dalszej części dokumentu.

Reakcja

Elementami wykonawczymi na ogół będą podstawowe komponenty systemu automatyki, takie jak stycznik, przekaźnik, cewka zaworu/rygla, falownik czy układ rozruchowy, czyli wszelkie aktuatory odpowiadające za przekazanie energii do elementów ruchomych (np. silnika bądź siłownika).

UKŁAD HARD-WIRED

Rys. 2.

Historycznie, na początku rozwoju technologii bezpieczeństwa - system zabezpieczeń ograniczał się do stosowania standardowych elementów układu elektrycznego, które w razie sytuacji niebezpiecznej pozwalały po prostu na odcięcie elementu wykonawczego od źródła energii. Przykładem takiego rozwiązania było zastosowanie pojedynczego stycznika elektromechanicznego, w którego obwód zasilający wpięte były jednotorowe czujniki bezpieczeństwa (np. stop awaryjny czy kurtyna świetlna) - rysunek 2A.

Rozwiązanie takie szybko okazało się mało skuteczne, gdyż w przypadku awarii stycznika (np. sklejenie styków) system stawał się niebezpieczny, ponieważ jego wyłączenie nie było możliwe.

Inżynierowie rozpoczęli więc poszukiwania rozwiązań bardziej niezawodnych. Początkowo stosowano obwody elektryczne o wyższej złożoności, np. dwa styczniki połączone szeregowo (rys. 2B) oraz większą liczbę czujników aktywujących cewki styczników. W takim układzie awaria jednego ze styczników nie ograniczała funkcji bezpieczeństwa.

Zwiększyło to znacznie poziom bezpieczeństwa, jednak nadal brakowało mechanizmu, który informowałby o uszkodzeniach elementów łańcucha bezpieczeństwa i pozwalał na monitorowanie parametrów podzespołów. W późniejszym czasie zapotrzebowanie to doprowadziło do powstania pierwszego przekaźnika bezpieczeństwa.

W nowoczesnych systemach bezpieczeństwa nie stosuje się na ogół takich rozwiązań. Budując taką prostą strukturę (podłączając wyłącznik bezpieczeństwa bezpośrednio pod cewkę stycznika), jesteśmy w stanie uzyskać maksymalnie poziom bezpieczeństwa SIL1/PLb.

Poziom ten jest jednak uzyskany przez zastosowanie komponentów nieposiadających certyfikacji fail-safe (w przeciwieństwie do przekaźnika bezpieczeństwa, falownika bądź sterownika programowalnego F-CPU), co za tym idzie, producent maszyny musi oszacować poziom bezpieczeństwa na podstawie bazowych parametrów (np. PFH czy MTTF) użytych w projekcie komponentów.

W prostych układach zamiast stycznika zastosować można alternatywnie rozłącznik bezpieczeństwa.

PRZEKAŹNIK BEZPIECZEŃSTWA

Wraz z rozwojem układów bezpieczeństwa określone zostały cechy układu, jakie powinien on spełniać. Jednymi z podstawowych informacji jakie system powinien analizować, stała się kontrola stanu urządzeń toru bezpieczeństwa - rodzaju oraz poprawności połączeń obwodów, czasów rozbieżności przełączania styków pomiędzy kanałami, stanu styków (np. sklejenie styków stycznika - sprzężenie zwrotne), zwarcie pomiędzy kanałami oraz inne parametry diagnostyczne komponentów odpowiedzialnych za bezpieczeństwo systemu.

Systemy zaczęto projektować w taki sposób, aby awaria któregokolwiek urządzenia fail-safe uniemożliwiała ponowne uruchomienie maszyny.

Podstawowym elementem nowoczesnego układu bezpieczeństwa stał się przekaźnik bezpieczeństwa. Jest to certyfikowane urządzenie elektryczne lub elektroniczne, które odpowiada i gwarantuje (zgodnie z normą) odłączenie zasilania urządzeń wykonawczych w sytuacji awaryjnej. Przekaźniki bezpieczeństwa muszą być zaprojektowane w taki sposób, aby zarówno ich błąd wewnętrzny, jak i usterka spowodowana przyczyną zewnętrzną (czujnikiem lub elementem wykonawczym) nie powodowały ograniczenia funkcji bezpieczeństwa.

W związku z powyższym przekaźnik bezpieczeństwa, w wykonaniu klasycznym, skonstruowany jest z trzech styków przekaźnikowych (dwa przekaźniki z rozwieraniem wymuszanym - styki lustrzane). Budowa nadmiarowa zapewnia zachowanie funkcji urządzenia nawet podczas błędów okablowania lub zwarcia elementów aktywujących. Dodatkowo obwód sprzężenia zwrotnego pozwala na monitorowanie stanu urządzeń wykonawczych. W razie awarii któregoś z nich dopiero wymiana na sprawny element pozwoli ponownie uruchomić maszynę.

FUNKCJE DIAGNOSTYCZNE PRZEKAŹNIKA BEZPIECZEŃSTWA

Nowoczesne przekaźniki bezpieczeństwa poza częścią elektryczną wyposażone są również w układ mikroprocesorowy, który od momentu zasilenia wykonuje testy sprawdzające poprawność konfiguracji toru bezpieczeństwa.

Czujniki dwutorowe

Warto wspomnieć w tym miejscu o rodzaju połączenia czujników aktywujących funkcje bezpieczeństwa. W zależności od wymaganego poziomu bezpieczeństwa przykładowy stop awaryjny możemy podłączyć jako:

• pojedynczy obwód jednostykowy, czyli jednotorowo. W tym wypadku pojedyncza ścieżka elektryczna pozwoli zrealizować nam tę część projektu na poziomie SIL 2/PLc,
• obwód zdublowany, czyli dwa styki NC aktywowane w tym samym momencie przy wbiciu grzybka bezpieczeństwa, tzw. połączenie dwutorowe. Taki układ pozwoli osiągnąć najwyższy poziom bezpieczeństwa SIL3/PLe.

Testowanie toru bezpieczeństwa

Podłączenie dwutorowe elementów aktywujących funkcje bezpieczeństwa daje nie tylko wyższy poziom niezawodności, ale również rozszerzone możliwości diagnostyki czujnika. Konfiguracja taka spełnia zazwyczaj następujące funkcje:

• detekcja zwarć między kanałami wejściowymi. Charakterystyczną metodą wykrywania takiej usterki w obwodzie wejściowym jest różnicowe testowanie impulsowe. Przekaźnik bezpieczeństwa wysyła impulsy o wysokiej częstotliwości na kanał pierwszy i drugi - przesunięte fazowo względem siebie. W momencie wystąpienia zwarcia stycznik otrzymuje w sprzężeniu zwrotnym, ten sam sygnał impulsowy na obu kanałach. Układ mikroprocesorowy analizuje tę zależność, w razie awarii wykrywając zwarcie międzykanałowe.
• monitorowanie czasu przełączeń. W przypadku podłączenia dwutorowego styków czujnika istotne jest monitorowanie czasu pomiędzy aktywacją obu kanałów. Mikroprocesor przekaźnika bezpieczeństwa wykrywa zarówno niezałączenie jednego z kanałów, jak i zbyt dużą rozbieżność czasową pomiędzy ich aktywacją (np. w przypadku sterowania dwuręcznego). W obu przypadkach awaria spowoduje przejście wyjść przekaźnika w stan bezpieczny.
• sprawdzanie poprawności obwodu resetującego. W momencie przejścia w stan niebezpieczny ponowne uzbrojenie układu nie będzie możliwe, jeśli wykryta zostanie usterka obwodu potwierdzającego.
• analiza ciągłości układu wyjściowego. Niektóre przekaźniki bezpieczeństwa mają funkcję sprawdzania poprawności połączenia elementów wykonawczych. Przerwanie obwodu wyjściowego lub awaria aktuatora spowoduje wyzwolenie stanu niebezpiecznego. Zwarcia w układzie wyjściowym nie są krytycznym punktem analizy bezpieczeństwa, gdyż w momencie aktywacji stanu niebezpiecznego obwody zasilające elementy wykonawcze zostaną odcięte od zasilania.

PRZYKŁADY

Rys. 3.

W zależności od konfiguracji struktury systemu osiągnąć możemy adekwatny poziom bezpieczeństwa. Rozważmy kilka typowych przypadków aktywujących funkcje bezpieczeństwa w układach napędowych.

W aplikacjach takich będziemy odcinać od źródła energii silnik elektryczny (ew. wprowadzać go w bezpieczny tryb pracy) - podłączony do niego bezpośrednio lub za pośrednictwem przekształtnika częstotliwości. W przykładowych rozważaniach na temat wariacji zastosowań przekaźnika bezpieczeństwa (elementu oceny ryzyka) elementem aktywującym może być przycisk awaryjny (aktywator podłączony dwutorowo), natomiast elementem wykonawczym stycznik.

W podstawowej strukturze układu wyposażymy tor bezpieczeństwa w jeden element aktywujący, przekaźnik bezpieczeństwa oraz stycznik umiejscowiony przed napędem (lub bezpośrednio przed silnikiem - jeśli układ nie będzie miał regulatora częstotliwości). Sytuację taką obrazuje rysunek 3A. Taki układ pozwoli osiągnąć nam maksymalnie poziom bezpieczeństwa SIL2 lub PLd.

W aplikacjach, gdzie zagrożeniem mogą być sytuacje powodujące ciężkie urazy lub śmierć użytkownika, wymagany będzie wyższy poziom bezpieczeństwa. Podobnie jak w poprzedniej sekcji możemy podnieść go przez wzbogacenie łańcucha bezpieczeństwa o większą liczbę elementów aktywujących oraz wykonawczych. Zastosowanie dwóch styczników odcinających dopływ prądu do falownika (opcjonalnie większa liczba aktywatorów, np. wyłącznik krańcowy) daje sposobność osiągnięcia poziomu bezpieczeństwa SIL3/PLe. Układ taki ilustruje rysunek 3B.

Umiejscowienie stycznika

Zwróćmy jeszcze uwagę na istotne zagadnienie dla systemu ze zmienną regulacją częstotliwości. W takim układzie pojawia się pytanie - gdzie w obwodzie doprowadzającym zasilanie do silnika powinien się znaleźć stycznik, będący elementem toru bezpieczeństwa. Możemy umieścić go przed lub za przekształtnikiem częstotliwości.

Jest to dosyć istotna kwestia i każdy z wyborów ma swoje wady i zalety. W trakcie pracy normalnej nie jest istotne położenie styczników. Jeśli jednak wystąpi zdarzenie niebezpieczne, cechy stycznika położonego za przekształtnikiem mogą doprowadzić do awarii.

Usytuowanie stycznika przed przekształtnikiem nie powinno spowodować zdarzeń nietypowych. Może się jednak okazać, że w pewnego rodzaju aplikacjach większą pewność działania funkcji bezpieczeństwa uzyskamy, podłączając drugi stycznik bezpośrednio przez silnikiem. W takim układzie trzeba zwrócić uwagę na charakterystykę elektryczną obwodu.

Należy mieć na uwadze, że stycznik przewidziany jest zazwyczaj do rozłączania obwodu prądu przemiennego o określonej częstotliwości (np. 50 Hz). Jeśli będziemy rozłączać obwód elektryczny o regulowanej częstotliwości (za przekształtnikiem), a będzie pracował on na wysokiej lub niskiej częstotliwości, to w momencie rozłączenia zasilania falownik przez moment będzie generował energię, która nie będzie miała ujścia.

Na stykach stycznika może wtedy wystąpić przeskok łuku elektrycznego, co może skończyć się pożarem lub sklejeniem styków stycznika. Zjawisko to może doprowadzić również do wytworzenia zwarcia w obwodzie elektrycznym przekształtnika częstotliwości, a co za tym idzie do spalenia tranzystorów IGBT (trwałe uszkodzenie falownika).

Aby zapobiec takiej sytuacji, w pierwszej kolejności odłączone powinno zostać zasilanie falownika (stycznik przed falownikiem), a dopiero po zdefiniowanym opóźnieniu (np. 100 ms) obwód zasilania silnika (stycznik za falownikiem), przez który nie powinien płynąć już prąd. Taki układ zwłoczny możemy zrealizować np. przez zastosowanie przekaźnika bezpieczeństwa z funkcją opóźnienia aktywacji sygnałów wyjściowych. Schemat połączenia przedstawiony został na rysunku 3C.

Przekaźnik programowalny

W zależności od skomplikowania projektu w obszarze układu bezpieczeństwa zastosować możemy konfigurację przekaźników bezpieczeństwa lub bardziej zaawansowane urządzenie oceny sygnałów fail-safe. Poziom wyżej w hierarchii takich rozwiązań zajmuje tzw. programowalny przekaźnik bezpieczeństwa.

Jest to urządzenie mikroprocesorowe z certyfikacją bezpieczeństwa, które pozwala na swobodą definicję logiki załączania wyjść bezpiecznych (F-DO) na podstawie odczytanych stanów wejść fail-safe (F-DI). Programowanie takich urządzeń odbywa się zazwyczaj przez odpowiednie oprogramowanie (np. Safety ES dla przekaźników SIRIUS), mające możliwość zdefiniowania prostej logiki programu. W przypadku większej liczby wejść/wyjść bezpiecznych zastosowanie przekaźnika programowalnego może okazać się łatwiejsze oraz szybsze w implementacji, a może i tańsze od rozwiązania klasycznego.

Więcej informacji na temat przekaźników bezpieczeństwa z rodziny SIRIUS znaleźć można w następującej lokalizacji sieciowej: www.automatyka.siemens.pl/docs/docs_ia/Broszura_3SK.pdf

Zapraszamy do lektury kwietniowego wydania magazynu, gdzie zamieszczona zostanie kontynuacja ostatniej części materiału z cyklu SIMATIC Motion Control. Zajmiemy się w niej opisem realizacji funkcji bezpieczeństwa w układach napędowych przez zintegrowane funkcje napędów oraz przez nadrzędny sterowniki PLC w wydaniu fail-safe.

Siemens
www.automatyka.siemens.pl