Обеспечение безопасности станков с приводами переменной скорости: ключевые функции и лучшие практики

Общие принципы функций безопасности в электронном оборудовании

Этот блог дает введение в использование приводов переменной скорости в функциях безопасности станков. Помогает тем, кто знаком с инверторными приводами, но меньше с системами управления, связанными с безопасностью. Поможет понять принципы и перейти к большому объему детального материала о системах безопасности.

Термин «Функциональная безопасность» применяется там, где электрическое, электронное или программируемое оборудование используется для выполнения функций, влияющих на безопасность людей. Это огромная тема, включающая разные применения: железнодорожную сигнализацию, мониторинг и контроль крупных технологических объектов, где многие люди могут быть в риске при аварии. Однако чаще всего в приводных применениях это относится к станкам, где система управления может предотвратить ситуацию, когда человек рискует травмой от работы станка. Простой пример — защитный барьер, который часто нужно открывать для доступа к части станка, но когда он открыт, станок не должен работать. Система датчиков и исполнителей может быть спроектирована для обнаружения состояния барьера и контроля станка.

С появлением интеллектуального программируемого оборудования, такого как ПЛК и цифровые ПСС, системы безопасности могут быть более гибкими и интеллектуальными, позволяя гибкую эксплуатацию с сохранением безопасности. Например, возможно разрешить продолжение работы на пониженной скорости при открытом барьере, возможно при условии специального ключа безопасности, управляемого квалифицированным лицом, или при распознавании лица этого лица, или другой меры предосторожности.

Режимы отказа

Ключевой фактор функций безопасности — надежность функции должна быть значительно лучше, чем может дать простое электрическое, электронное или программируемое оборудование. Как бы хорошо ни было качество обычной электрической или электронной схемы, некоторые дефектные компоненты могут привести к отказу выполнения требуемой функции безопасности, не становясь очевидными. Аппаратное обеспечение для функций безопасности должно поэтому проектироваться с встроенными самотестирующимися или «фейл-сейф» свойствами. В разработке продукта эффекты аппаратных отказов должны анализироваться в Анализе режимов и последствий отказов (FMEA) и потенциально опасные режимы отказа снижаются проектированием до очень низкого уровня. Типичная цель для PFH_D (вероятность опасного отказа в час) для уровня целостности SIL3 — 10^-8 в час, т.е. частота отказа менее одного на 10 000 лет. Такие низкие частоты всегда требуют специальных структур в электронных системах управления. Обратите внимание: речь о случайных отказах в течение предназначенного срока службы, а не о ресурсе. Детали с известными механизмами износа в рамках срока службы можно управлять плановым обслуживанием.

Структуры управления

В большинстве применений с приводами речь о безопасности стационарного станка, и самый частый вариант — использование двух независимых каналов для функции безопасности с перекрестной проверкой, так что при расхождении привод останавливается, т.е. приводной момент прекращается. В большинстве станков это приводит к безопасному состоянию. Для станка вроде подъемника, который может двигаться под гравитацией без привода, меры должны быть приняты, чтобы он не создавал опасность при исчезновении приводного момента.

Рисунок 1 иллюстрирует базовую двухканальную систему безопасности, также называемую «один из двух» или 1oo2, означающую, что если один из двух каналов требует остановки, станок останавливается. Это наиболее частая схема для системы управления безопасностью станка. Неисправность в любом датчике или процессоре сигналов не ведет к потере функции безопасности. Обратите внимание, Рисунок 1 — функциональная диаграмма, «И-вентиль» на выходе не простая логическая микросхема, так как это ввело бы точку единичного отказа, если микросхема откажет. Это может быть двухканальный вход STO на приводе или другой метод, устраняющий общий причинный отказ одного устройства.

Диагностическая функция, показанная серым, обычно необходима для обеспечения непрерывной безопасности, потому что без нее, хотя неисправность в одном канале не вызывает отказ функции безопасности, станок мог бы продолжать работать неопределенно долго с одним каналом в небезопасном состоянии. Второй отказ тогда привел бы к опасной ситуации.

Рисунок 1: Структура управления один-из-двух

Программное обеспечение/прошивка

Использование встроенных процессоров с прошивкой и ПО вводит новое измерение в функциональную безопасность. ПО не имеет случайных отказов, но его сложность означает, что трудно гарантировать, что оно работает как задумано под всеми условиями и последовательностями событий. Это нельзя доказать тестом всей системы как «черного ящика» — ПО должно быть написано на четко определенном языке с мерами предотвращения ошибок кодирования, и тщательно структурировано в модули, которые можно специфицировать и тестировать на каждом шаге. Также должно быть доказано, что модули не могут быть негативно затронуты другими активностями в процессорной системе, и это сложно, если другой небезопасный код работает на том же процессоре.

Необходимая дисциплина создания четкой однозначной спецификации, с планом тестов и тщательным документированием процесса, применяется и к написанию кода, и к проектированию всей системы.

Важный контроль качества ПО — различение «языка ограниченной вариативности» (LVL) от «языка полной вариативности» (FVL). LVL ограничен конфигурированием предодобренных модулей с четко определенными функциями ограниченным образом, так что результат можно протестировать простой последовательной тестовой программой. LVL был создан с использованием FVL, такого как C++ и т.д., прошедшего полный строгий процесс проектирования, и затем заблокирован от доступа программиста LVL.

Легкость изменения ПО также означает, что должна быть надежная система версионного контроля, включая предотвращение неавторизованных изменений.

Применения приводов

Многие функции безопасности, состоящие из простых последовательностей и комбинаций входов для управления выходами, могут быть реализованы в ПЛК со специальными свойствами предотвращения опасностей от аппаратных отказов и ошибок ПО — «безопасным ПЛК». Однако есть применения, где привод особенно хорошо позиционирован для реализации таких функций рентабельно:

• Предотвращение привода — инверторный привод имеет уникальные свойства, делающие его подходящим для последнего звена в цепи безопасности: предотвращения развития момента в двигателе когда требуется, с очень высокой надежностью. Это определяется как Safe Torque Off (STO).
• Ограничение области движения, включая момент, ускорение, скорость, направление или позицию, либо в абсолютных значениях, либо в относительных, таких как приращения позиции. Привод контролирует эти переменные и часто имеет точные и быстрые измерения их, например, через валовый или позиционный энкодер, или, возможно, наблюдая за поведением напряжения и тока двигателя. Если эти приводные функции объединяются с простой комбинационной и последовательной логикой для входов от датчиков станка (выключатели ворот, ключевые выключатели), то большой класс применений безопасности можно реализовать.

Стандарты для частей систем управления станками, связанных с безопасностью

Необходимость строгого управления и реализации проектирования систем безопасности означает, что релевантные международные стандарты сложны и плотны. Здесь мы посмотрим на несколько ключевых особенностей стандартов, наиболее релевантных для безопасности станков.

Международные стандарты с префиксами ISO или IEC. Европейские стандарты CENELEC с префиксом EN. Мы рассмотрим версии EN, международные формы используют те же номера с другими префиксами. Версии EN имеют статус гармонизированных стандартов для Директивы ЕС по станкам.

EN ISO 12100 описывает, как должна проводиться оценка риска станка, с распределением функций безопасности на систему управления при необходимости. Это необходимый предшественник правильного проектирования системы управления безопасностью, ответственность проектировщика станка.

EN 61800-5-2 — стандарт функциональной безопасности систем приводов. Определяет ряд функций, особенно подходящих для приводов, называемых «обозначаемыми подфункциями безопасности», таких как Safe Torque Off (STO), Safely-limited speed (SLS) и т.д. Целостность безопасности полной функции измеряется SIL, принимающим значения 1 (низший) до 3. Поскольку привод — подсистема полной системы управления безопасностью, это называется его «SIL capability».

EN 62061 — стандарт для электрических/электронных/программируемых систем управления станками, использующий ту же метрику SIL, что и EN 61800-5-2.

EN ISO 13849-1 — стандарт для систем управления станками, включая неэлектрические. Использует другую метрику, Performance Level (PL) и Category (от B до 4). Дополнительный стандарт EN ISO 13849-2 охватывает «Валидацию», включая руководство по тем отказам, которые нужно учитывать, и каким можно пренебречь («исключения отказов»).

Фундамент большой части стандартизации систем безопасности — серия EN 61508 части 1–7. Они сами по себе не гармонизированные стандарты, так как охватывают все системы, а не только системы управления станками.

Уровни целостности безопасности

Требуемый SIL или PL для данной функции безопасности связан со степенью риска, которую функция должна смягчить — т.е. вероятностью и тяжестью возможной травмы. Процесс решения начинается с оценки риска станка, описанной в EN ISO 12100. Правила вывода требуемого SIL или PL даны в EN 62061 и EN ISO 13849-1.

Safe Torque Off в инверторных приводах (STO)

Самая базовая функция безопасности, которую может предложить привод — STO. Инверторный привод, управляющий асинхронным двигателем, особенно подходит для этой функции, потому что инверторная мощностная ступень должна быть постоянно активна со сложным и хорошо управляемым ШИМ-образцом переключения для большинства силовых полупроводников для производства любого момента в двигателе. Рисунок 2 иллюстрирует базовую мощностную структуру инвертора.

Рисунок 2: Базовая мощностная структура инвертора с постоянным током

Двигателю нужно вращающееся магнитное поле для производства момента, которое может быть сгенерировано только шестью силовыми транзисторами, следующими сложному и четко определенному образцу переключения, генерирующему трехфазное напряжение на выходных клеммах. В отсутствии этого образа управления, так как питание инвертора — постоянный ток, нет отказов в мощностной цепи инвертора, которые могли бы склоняться к генерации момента. Худший случай отказа — когда два транзистора в противоположных полюсах двух ног инвертора проводят непреднамеренно, как показано красными стрелками на Рисунке 2. В этом случае высокий неконтролируемый ток течет в одной фазе двигателя до срабатывания защиты от перенапряжения или разрушения инвертора (входной предохранитель или автомат срабатывает). Ничто из этого не дает вращающееся магнитное поле, поэтому момент не генерируется.

В случае постоянномагнитного или релюктивного двигателя этот худший случай отказа вызовет временный выравнивающий момент до срабатывания защитного устройства. В пределе двигатель мог повернуться на один полюсный шаг для ПМ-двигателя или половину полюсного шага для релюктивного.

Интерфейс между инверторной мощностной ступенью и входом управления STO привода должен быть спроектирован для поддержания очень низкой вероятности небезопасного отказа, означающей, что сложный ШИМ-образец управления был непреднамеренно пропущен к инверторным транзисторам. Обычно схема использует какой-то «фейл-сейф» метод, при котором, как и в самом инверторе, отказы компонентов всех видов приводят к потере команды «Enable». Может быть два независимых канала, чтобы функция STO могла легко интерфейсироваться с двухканальным контроллером безопасности.

Более продвинутые функции безопасности приводов

Большинство других обозначенных функций безопасности приводов требуют анализа данных, таких как ток двигателя и/или скорость. Обычно реализуется в микроконтроллере, со вторым контроллером, непрерывно перекрестно проверяющим входные и выходные данные и действия процессора, как иллюстрировано на Рисунке 3. Инвариантно результат обнаружения расхождения — отключение привода через функцию STO.

Вероятность аппаратного отказа в опасном направлении снижается до допустимого уровня за счет двух каналов с перекрестной проверкой. Входные устройства, такие как выключатели, дублируют для обнаружения простых ошибок «залипания», и могут снабжаться диверсифицированными электрическими импульсами для обнаружения более тонких скрытых отказов между каналами. Базовые инкрементные валовые энкодеры имеют полезную врожденную особенность, позволяющую обнаружить большинство отказов, так как два импульсных трека имеют 90° сдвиг фазы, что означает, что большинство ошибок приводят к невозможной импульсной последовательности, которую можно обнаружить. Цифровые выходы проверяются регулярными тестовыми импульсами, проверяющими, может ли выход, намеренно удерживаемый в высоком (истинном) логическом состоянии, все еще перейти в низкое — иногда называемые OSSD-выходами.

Вероятность систематического отказа, т.е. врожденной ошибки проектирования, снижается до допустимого уровня наиболее строгим процессом определения точных требований к функциям безопасности и отслеживания их реализации, тестирования и документирования.

Полные станки и компоненты безопасности

Строгий процесс спецификации и отслеживания функций безопасности должен следоваться для каждого индивидуального применения, и проектировщик станка несет конечную ответственность. Если привод с функциями функциональной безопасности используется как часть проекта, он становится компонентом безопасности, и его собственная спецификация требований безопасности и сертификация становятся частью полной системной документации.

В ЕС это требование закреплено в законе в виде Директивы по станкам 2006/42/EC, включающей определение и требования для компонентов безопасности, когда они вводятся на рынок отдельно. На практике это обычно означает, что привод с функциями безопасности поставляется с сертификатом ЕС типа испытаний, выданным независимым правительственно утвержденным Уведомленным органом, для разрешения его использования в системе управления безопасностью станка. Если у него встроена функция STO как стандартная, так что он может или не может использоваться как компонент безопасности, привод должен иметь две отдельные декларации производителя ЕС, согласно Директиве по станкам и Директиве по низкому напряжению.