Machineveiligheid Zorgen Met Variabele Snelheidsaandrijvingen: Sleutelfuncties & Best Practices

Algemene principes van veiligheidsfuncties in elektronische apparatuur

Deze blog geeft een inleiding tot het gebruik van variabele snelheidsaandrijvingen in machineveiligheidsfuncties. Het is bedoeld om hen te helpen die bekend zijn met AC-inverteraandrijvingen maar minder met veiligheidsgerelateerde controlsystemen. Het zou de lezer moeten helpen de principes te begrijpen en door te gaan naar de grote hoeveelheid gedetailleerd materiaal die beschikbaar is over veiligheidsgerelateerde systemen.

De term "Functionele Veiligheid" wordt toegepast waar elektrische, elektronische of programmeerbare apparatuur wordt gebruikt om functies uit te voeren die de menselijke veiligheid beïnvloeden. Dit is een enorm onderwerp, dat diverse toepassingen omvat zoals seingeven op spoorwegen en de monitoring en controle van grote procesinstallaties waar veel mensen in gevaar kunnen zijn bij een ongeluk. Meest voorkomend in aandrijvingsapplicaties zou het echter verwijzen naar een soort machine, waar het controlsysteem kan worden gebruikt om een situatie te voorkomen waarin een persoon het risico loopt op letsel door de operatie van de machine. Een eenvoudig voorbeeld is een veiligheidsbarrière, die frequent geopend moet worden om toegang te krijgen tot een deel van de machine, maar wanneer hij open is, de machine niet in staat mag zijn te opereren. Een systeem van sensoren en actuatoren kan ontworpen worden om de toestand van de barrière te detecteren en de machine te besturen.

Met de beschikbaarheid van intelligente programmeerbare apparatuur zoals PLC's en digitale VSD's, kunnen veiligheidssystemen flexibeler en intelligenter zijn dan dit voorbeeld, waardoor flexibele operatie mogelijk is terwijl veiligheid behouden blijft. Bijvoorbeeld, het zou mogelijk kunnen zijn om voortgezette operatie met verlaagde snelheid toe te staan wanneer een barrière open is, mogelijk voorwaardelijk op een speciale veiligheidssleutel die door een gekwalificeerde persoon wordt bediend, of misschien wanneer het gezicht van die persoon herkend wordt, of een andere voorzorgsmaatregel.

Foutmodi

De cruciale factor bij veiligheidsfuncties is dat de betrouwbaarheid van de functie aanzienlijk beter moet zijn dan wat bereikt kan worden met gewone elektrische, elektronische of programmeerbare apparatuur. Hoe goed de kwaliteit van een conventioneel elektrisch of elektronisch circuit ook is, sommige componentenfouten kunnen optreden die ertoe leiden dat het de vereiste veiligheidsfunctie niet uitvoert, maar zonder dat de fout duidelijk wordt. Hardware voor veiligheidsfuncties moet daarom ontworpen worden met ingebouwde zelftest- of "fail-safe" functies. Tijdens productontwikkeling moeten de effecten van hardwarefouten geanalyseerd worden in een Failure Modes and Effects Analysis (FMEA) en potentiële gevaarlijke foutmodi moeten door ontwerp tot een heel laag niveau worden gereduceerd. Een typisch doel voor de PFH_D (kans op fout in gevaarlijke richting) voor integriteitsniveau SIL3 zou 10^-8 per uur zijn, d.w.z. een foutfrequentie van minder dan één per 10.000 jaar. Zulke lage foutfrequenties vereisen altijd speciale structuren in elektronische controlsystemen. Let op dat we hier verwijzen naar willekeurige fouten die optreden tijdens de beoogde levensduur van de apparatuur, en niet naar levensverwachting. Onderdelen met bekende slijtagemethoden binnen de beoogde levensduur van het systeem kunnen beheerd worden door gepland onderhoud.

Controlestructuren

In de meeste applicaties met aandrijvingen wordt de veiligheid van een vaste machine aangepakt, en de meest voorkomende optie is om twee onafhankelijke kanalen voor de veiligheidsfunctie te gebruiken, met kruiscontrole zo gerangschikt dat in het geval van een discrepantie de aandrijving stopt, d.w.z. het dryfkoppel stopt. In de meeste machines resulteert dit in een veilige toestand. Voor een machine zoals een hijs die onder zwaartekracht kan bewegen zonder een aandrijving, moeten maatregelen genomen worden om ervoor te zorgen dat het geen gevaar kan veroorzaken wanneer het dryfkoppel verdwijnt.

Figuur 1 illustreert een basis twee-kanaal veiligheidssysteem dat ook aangeduid wordt als een "één van twee" of 1oo2 systeem, betekent dat als een van de twee kanalen een stop verzoekt, de machine stopt. Dit is de meest voorkomende rangschikking voor een machineveiligheidscontrolsysteem. Een fout in een van de sensoren of signaalverwerkingsprocessors leidt niet tot verlies van de veiligheidsfunctie. Let op dat Figuur 1 een functioneel diagram is, de "AND-poort" aan de uitgang is geen eenvoudige logica-chip, want dat zou een single point failure mechanism introduceren, als de logica-chip faalt. Het kan een twee-kanaal STO-ingang op de aandrijving zijn, of een andere methode waar de common cause failure van een enkel apparaat geëlimineerd wordt.

De diagnostische functie getoond in grijs is meestal noodzakelijk om doorlopende veiligheid te waarborgen, want zonder het, hoewel een fout in één kanaal de veiligheidsfunctie niet doet falen, zou het mogelijk zijn voor de machine om oneindig door te draaien met één kanaal in de onveilige toestand. Een tweede fout zou dan leiden tot een gevaarlijke toestand.

Figuur 1: Een-uit-twee controlestructuur

Software/firmware

Het gebruik van ingebedde processors die firmware en software draaien, introduceert een nieuwe dimensie in functionele veiligheid. De software heeft geen willekeurige fouten, maar de complexiteit ervan betekent dat het moeilijk is te waarborgen dat het als bedoeld functioneert onder alle condities en gebeurtenisreeksen. Dit kan niet bewezen worden door een test van het complete systeem als een "black box" – de software moet geschreven worden in een goed gedefinieerde taal met maatregelen om coderingsfouten te vermijden, en zorgvuldig gestructureerd in modules die op elke stap gespecificeerd en getest kunnen worden. Het moet ook bewezen worden dat de modules niet nadelig beïnvloed kunnen worden door andere activiteiten in het processore-systeem, en dit is moeilijk als andere niet-veiligheidscode op dezelfde processor draait.

De nodige discipline van het creëren van een duidelijke onmiskenbare specificatie, met een testplan, en het grondig documenteren van het proces, geldt zowel voor het schrijven van de code als voor het ontwerpen van het complete systeem.

Een belangrijke controle over softwarekwaliteit is het onderscheiden van een "beperkte variabiliteitstaal" (LVL) van een "volle variabiliteitstaal" (FVL). De LVL is beperkt tot het configureren van vooraf goedgekeurde modules met goed gedefinieerde functies op een beperkte manier zodat het resultaat getest kan worden door een eenvoudig sequentieel testprogramma. De LVL zou gemaakt zijn met een FVL zoals C++ enz., die een volledige rigoureuze ontwerpproces had doorlopen, en toen voorbij toegang door de LVL-programmeur was vergrendeld.

De gemak waarmee software gewijzigd kan worden, betekent ook dat een beveiligd systeem van versiebeheer aanwezig moet zijn, inclusief de preventie van onbevoegde wijzigingen.

Aandrijvingsapplicaties

Veel veiligheidsfuncties die bestaan uit eenvoudige reeksen en combinaties van ingangen om uitgangen te besturen, kunnen geïmplementeerd worden in een PLC met speciale functies om gevaren van hardwarefouten en softwarefouten te voorkomen, d.w.z. een "veiligheids-PLC". Er zijn echter applicaties waar de aandrijving bijzonder goed geplaatst is om dergelijke functies kosteneffectief te implementeren:

• Voorkomen van aandrijving – de inverteraandrijving heeft unieke kenmerken die het geschikt maken voor het laatste schakel in de veiligheidsketen, namelijk het voorkomen dat koppel in de motor wordt ontwikkeld wanneer vereist, met een zeer hoge integriteit. Dit wordt gedefinieerd als Safe Torque Off (STO).
• Beperking van het bewegingsbereik, inclusief koppel, versnelling, snelheid, richting of positie, hetzij in absolute waarden of relatieve waarden zoals positie-incrementen. De aandrijving beheerst deze variabelen en heeft vaak nauwkeurige en snel reagerende metingen ervan, bijv. door een as- of positie-encoder, of mogelijk door het observeren van het gedrag van de motorspanning en -stroom. Als deze aandrijving-gerelateerde functies gecombineerd worden met eenvoudige combinatorische en sequentiële logica voor ingangen van machinesensoren zoals poortschakelaars en sleutelschakelaars, dan kan een grote klasse veiligheidsapplicaties geïmplementeerd worden.

Standaarden voor veiligheidsgerelateerde delen van machinecontrolsysteem

De noodzaak voor rigoureus beheer en implementatie van veiligheidssysteemontwerp betekent dat de relevante internationale standaarden complex en dicht zijn. In deze notitie kijken we naar een paar sleutelkenmerken van de standaarden die het meest relevant zijn voor machineveiligheid.

Internationale standaarden hebben als voorvoegsel ISO of IEC. Europese CENELEC-standaarden hebben als voorvoegsel EN. We kijken hier naar de EN-versies, de internationale vormen gebruiken dezelfde nummers met andere voorvoegsels. De EN-versies hebben de status van geharmoniseerde standaarden voor de EG-machinerichtlijn.

EN ISO 12100 beschrijft hoe de machinerisicobeoordeling uitgevoerd moet worden, resulterend in de toewijzing van veiligheidsfuncties aan het controlsysteem indien nodig. Dit is een essentiële voorloper voor het correcte ontwerp van het veiligheidsgerelateerde controlsysteem, en is de verantwoordelijkheid van de machineontwerper.

EN 61800-5-2 is een standaard voor functionele veiligheid van aandrijvingssystemen. Het definieert een aantal functies[1] die bijzonder geschikt zijn voor aandrijvingen, aangeduid als "aangewezen veiligheidsonderfuncties", zoals Safe Torque Off (STO), Veilig-beperkte snelheid (SLS) enz. De veiligheidsintegriteit van een complete veiligheidsfunctie wordt gemeten door de SIL, die waarden van 1 (laagst) tot 3 kan aannemen. Aangezien de aandrijving een subsysteem is van een compleet veiligheidsgerelateerd controlsysteem, wordt dit aangeduid als zijn "SIL-capaciteit".

EN 62061 is een standaard voor elektrische/elektronische/programmeerbare controlsystemen van machines, die dezelfde SIL-metriek gebruikt als EN 61800-5-2.

EN ISO 13849-1 is een standaard voor controlsystemen van machines, inclusief niet-elektrische systemen. Het gebruikt een andere metriek, het Performance Level (PL) en Categorie (van B tot 4). Een aanvullende standaard EN ISO 13849-2 dekt "Validatie", wat richtlijnen omvat over welke fouten overwogen moeten worden en welke genegeerd kunnen worden ("foutuitsluitingen").

De fundament van veel standaardisering van veiligheidsgerelateerde elektrische/elektronische/programmeerbare systemen is de EN 61508-# serie, delen 1 tot 7. Deze zijn niet op zich geharmoniseerde standaarden omdat ze alle systemen dekken en niet alleen controlsystemen voor machines.

Veiligheidsintegriteitsniveaus

De vereiste SIL of PL voor een gegeven veiligheidsfunctie is gekoppeld aan de graad van risico die de functie moet mitigeren – d.w.z. de kans en ernst van een mogelijke letsel. Het proces van het beslissen hierover begint met de risicobeoordeling van de machine, die beschreven wordt in EN ISO 12100. Regels voor het afleiden van de vereiste SIL of PL worden gegeven in EN 62061 en EN ISO 13849-1.

Safe Torque Off in inverteraandrijvingen (STO)

De meest basale veiligheidsfunctie die een aandrijving kan bieden is STO. Een inverteraandrijving die een inductiemotor bestuurt, is bijzonder geschikt voor deze functie, omdat de invertervermogensstufe continu actief moet zijn met een complex en goed gecontroleerd PWM-schakelpatroon voor de meeste vermogenshalfgeleiders om enig koppel in de motor te produceren. Figuur 2 illustreert de basis vermogensstructuur van de inverter.

Figuur 2: Basis vermogensstructuur van DC-link inverter

De motor heeft een roterend magnetisch veld nodig om koppel te produceren, wat alleen gegenereerd kan worden door de zes vermogenstransistoren die een complex en goed gedefinieerd schakelpatroon volgen dat een driedraads-spanningset genereert aan de uitgangsklemmen. In afwezigheid van dit controlepatroon, aangezien de voeding van de inverter DC is, zijn er geen fouten in het invertervermogenscircuit die koppel kunnen tenderen te veroorzaken. De ergste fout zou zijn waar twee transistoren in de tegenovergestelde polen van twee inverterbenen ongewild geleiden, zoals getoond door de rode pijlen in Figuur 2. In dat geval zou een hoge ongecontroleerde stroom in één motorfase vloeien totdat het overstroombeveiligingsschema opereerde of de inverter vernietigd werd (de ingangszekering of onderbreker schakelt). Geen van dit geeft een roterend magnetisch veld, dus er wordt geen koppel gegenereerd.

In het geval van een permanentmagnet- of reluktatiemotor zou deze ergste fout een tijdelijke uilijningskoppel veroorzaken totdat het beschermingsapparaat opereerde. In de limiet kan de motor één poolafstand draaien voor een PM-motor of een halve poolafstand voor een reluktatiemotor.

De interface tussen de invertervermogensstufe en de aandrijving STO-controle-ingang moet ontworpen worden om de zeer lage kans op een onveilige fout te behouden, wat zou betekenen dat het complexe PWM-controlepatroon ongewild doorgegeven werd aan de invertertransistoren. Typisch gebruikt de rangschikking een soort "fail-safe" techniek, waarbij net als in de inverter zelf, componentenfouten van alle soorten resulteren in verlies van het "Enable"-commando. Er kunnen twee onafhankelijke kanalen zijn zodat de STO-functie gemakkelijk geïnterfaceerd kan worden met een twee-kanaal veiligheidscontroller.

Meer geavanceerde aandrijving veiligheidsfuncties

De meeste van de andere aangewezen aandrijving veiligheidsfuncties vereisen een analyse van data zoals motorstroom en/of snelheid enz. Dit wordt typisch geïmplementeerd in een microcontroller, met een tweede controller die continu de invoer- en uitvoergegevens en de processoracties kruiscontroleert, geïllustreerd in Figuur 3. Onveranderlijk is het resultaat van een gedetecteerde discrepantie dat de aandrijving wordt uitgeschakeld via de STO-functie.

De kans op een hardwarefout in de gevaarlijke richting wordt gereduceerd tot een aanvaardbaar niveau door twee kanalen met kruiscontrole te hebben. Invoervoorzieningen zoals schakelaars worden gedupliceerd om de detectie van eenvoudige "stuck at" fouten toe te laten, en ze kunnen gevoed worden met gediversifieerde elektrische pulsen zodat meer subtiele sneak-fouten tussen kanalen gedetecteerd kunnen worden. Basale incrementale as-encoders hebben een nuttig inherent kenmerk dat de meeste fouten toelaat te detecteren, aangezien de twee pulssporen een 90° faseverschuiving hebben wat betekent dat de meeste fouten resulteren in een onmogelijke pulsreeks, die gedetecteerd kan worden. Digitale uitgangen worden gecontroleerd door regelmatige testpulsen die testen of een uitgang die opzettelijk in de hoge (ware) logische toestand wordt gehouden, nog steeds in staat is laag te gaan – soms aangeduid als OSSD-uitgangen.

De kans op een systematische fout, d.w.z. een inherent fout in het ontwerp, wordt gereduceerd tot een aanvaardbaar niveau door een allermeest rigoureus proces van het definiëren van de exacte eisen voor de veiligheidsfuncties en het volgen van hun implementatie, testen en documentatie.

Complete machines en veiligheidscomponenten

Het rigoureuze proces van specificeren en traceren van veiligheidsfuncties moet voor elke individuele applicatie worden gevolgd, en de machineontwerper is uiteindelijk hiervoor verantwoordelijk. Als een aandrijving met functionele veiligheidskenmerken wordt gebruikt als onderdeel van het ontwerp, wordt het een veiligheidscomponent, en worden zijn eigen veiligheidseisenspecificatie en certificering een deel van de complete systeemdocumentatie.

Binnen de Europese Unie is deze vereiste in de wet verankerd in de vorm van de Machinerichtlijn 2006/42/EG, die een definitie en eisen voor veiligheidscomponenten omvat waar ze apart op de markt worden gebracht. In de praktijk betekent dit meestal dat de aandrijving met veiligheidsfuncties geleverd wordt met een EG-typeonderzoeksattest uitgegeven door een onafhankelijke door de overheid goedgekeurde Notified Body, om het toe te laten in het veiligheidsgerelateerde controlsysteem van een machine. Als het de STO-functie standaard ingebouwd heeft, zodat het wel of niet als veiligheidscomponent gebruikt kan worden, moet de aandrijving dan twee afzonderlijke EG-fabrikantsverklaringen hebben, volgens de Machinerichtlijn en de Laagspanningsrichtlijn.