Funciones de seguridad de la máquina en variadores de velocidad
Principios generales de las funciones de seguridad en equipos electrónicos
Este blog ofrece una introducción al uso de variadores de velocidad en funciones de seguridad de maquinaria. Su objetivo es ayudar a aquellos que están familiarizados con los convertidores de frecuencia de CA, pero menos con los sistemas de control relacionados con la seguridad. Debe ayudar al lector a comprender los principios y acceder a la gran cantidad de material detallado disponible sobre los sistemas relacionados con la seguridad.
El término “Seguridad Funcional” se aplica cuando se utilizan equipos eléctricos, electrónicos o programables para realizar funciones que afectan la seguridad humana. Este es un tema muy amplio, que incluye diversas aplicaciones como la señalización ferroviaria y la supervisión y control de grandes plantas de proceso donde muchas personas podrían estar en riesgo en caso de accidente. Sin embargo, más comúnmente en aplicaciones de accionamiento, se referiría a algún tipo de maquinaria, donde el sistema de control se puede utilizar para evitar una situación en la que una persona corra el riesgo de lesionarse debido a la operación de la maquinaria. Un ejemplo sencillo es una barrera de seguridad, que debe abrirse con frecuencia para obtener acceso a parte de la maquinaria, pero cuando está abierta, la maquinaria no debe poder funcionar. Se puede diseñar un sistema de sensores y actuadores para detectar el estado de la barrera y controlar la máquina.
Con la disponibilidad de equipos programables inteligentes, como PLC y VSD digitales, los sistemas de seguridad pueden ser más flexibles e inteligentes que este ejemplo, lo que permite un funcionamiento flexible sin dejar de mantener la seguridad. Por ejemplo, podría ser posible permitir la operación continua a velocidad reducida cuando una barrera está abierta, posiblemente condicionada a que una persona calificada opere una llave de seguridad especial, o quizás cuando se reconozca el rostro de esa persona, o alguna otra precaución.
Modos de falla
El factor crucial con las funciones de seguridad es que la confiabilidad de la función debe ser considerablemente mejor que la que se puede lograr con equipos eléctricos, electrónicos o programables sencillos. Por muy buena que sea la calidad de un circuito eléctrico o electrónico convencional, pueden producirse fallos en algunos componentes que impidan llevar a cabo la función de seguridad requerida, pero sin que el fallo se manifieste. Por lo tanto, el hardware para las funciones de seguridad debe diseñarse con funciones de autocomprobación o "a prueba de fallas" incorporadas. Durante el desarrollo del producto, los efectos de las fallas del hardware deben analizarse en un Análisis de modos y efectos de falla (FMEA) y modos de falla potencialmente peligrosos. debe reducirse por diseño a un nivel muy bajo. Un objetivo típico para el PFHD (probabilidad de falla en una dirección peligrosa) para el nivel de integridad SIL3 sería 10 -8 por hora, es decir, una tasa de fallo inferior a uno cada 10.000 años. Estas bajas tasas de falla siempre requieren estructuras especiales en los sistemas de control electrónico. Tenga en cuenta que nos referimos a fallas aleatorias que ocurren durante la vida útil prevista del equipo, y no a la expectativa de vida. Las piezas con mecanismos de desgaste conocidos dentro de la vida útil prevista del sistema pueden gestionarse mediante un mantenimiento planificado.
Estructuras de control
En la mayoría de las aplicaciones que involucran variadores, se aborda la seguridad de una máquina fija, y la opción más común es usar dos canales independientes para la función de seguridad, con verificación cruzada dispuesta para que, en caso de discrepancia, el variador se detenga, es decir, el el par motor se detiene. En la mayoría de las máquinas esto da como resultado un estado seguro. Para una máquina como un polipasto que podría moverse por gravedad sin un accionamiento, se deben tomar medidas para garantizar que no cause un peligro cuando desaparezca el par de accionamiento.
La Figura 1 ilustra un sistema básico de seguridad de dos canales que también se conoce como sistema "uno de dos" o 1oo2, lo que significa que si uno de los dos canales solicita una parada, la máquina se detiene. Esta es la disposición más común para un sistema de control de seguridad de maquinaria. Una falla en el sensor o en el procesador de acondicionamiento de señales no provoca la pérdida de la función de seguridad. Tenga en cuenta que la Figura 1 es solo un diagrama funcional, la "compuerta AND" en la salida no es un chip lógico simple, porque eso introduciría un mecanismo de falla de punto único, si falla el chip lógico. Podría ser una entrada STO de dos canales en la unidad, o algún otro método donde se elimine la falla de causa común de un solo dispositivo.
La función de diagnóstico que se muestra en gris suele ser necesaria para garantizar la continuidad de la seguridad, ya que sin ella, aunque un fallo en un canal no hace que falle la función de seguridad, sería posible que la máquina siguiera funcionando indefinidamente con un canal en la zona insegura. Expresar. Una segunda falla conduciría a una condición peligrosa.
Figura 1:Estructura de control uno de dos
Software/firmware
El uso de procesadores integrados que ejecutan firmware y software introduce una nueva dimensión en la seguridad funcional. El software no tiene fallas aleatorias, pero su complejidad significa que es difícil garantizar que funcione según lo previsto en todas las condiciones y secuencias de eventos. Esto no puede probarse mediante una prueba del sistema completo como una "caja negra":el software debe estar escrito en un lenguaje bien definido con medidas tomadas para evitar errores de codificación y cuidadosamente estructurado en módulos que pueden especificarse y probarse en cada momento. paso. También debe demostrarse que los módulos no pueden verse afectados negativamente por otras actividades en el sistema del procesador, y esto es difícil si se ejecuta otro código que no es de seguridad en el mismo procesador.
La disciplina necesaria de crear una especificación clara e inequívoca, con un plan de prueba y documentar minuciosamente el proceso, se aplica tanto a la escritura del código como al diseño del sistema completo.
Un control importante sobre la calidad del software es distinguir un "lenguaje de variabilidad limitada" (LVL) de un "lenguaje de variabilidad total" (FVL). El LVL se limita a configurar módulos preaprobados con funciones bien definidas de manera restringida para que el resultado pueda probarse mediante un programa de prueba secuencial simple. El LVL se habría creado utilizando un FVL como C++, etc., que se había sometido a un riguroso proceso de diseño y luego se bloqueó sin acceso para el programador de LVL.
La facilidad con la que se puede cambiar el software también significa que debe existir un sistema seguro de control de versiones, incluida la prevención de alteraciones no autorizadas.
Aplicaciones de manejo
Muchas funciones de seguridad que comprenden secuencias simples y combinaciones de entradas para controlar salidas pueden implementarse en un PLC con características especiales para evitar peligros por fallas de hardware y errores de software, es decir, un "PLC de seguridad". Sin embargo, hay aplicaciones en las que el convertidor está especialmente bien situado para implementar dichas funciones de forma rentable:
- Prevención del accionamiento:el accionamiento del inversor tiene características únicas que lo adaptan al eslabón final de la cadena de seguridad, que es evitar que se desarrolle par en el motor cuando sea necesario, con una integridad muy alta. Esto se define como Safe Torque Off (STO).
- Restringir el alcance del movimiento, incluidos el par, la aceleración, la velocidad, la dirección o la posición, ya sea en valores absolutos o valores relativos, como incrementos de posición. El variador controla estas variables y, a menudo, tiene mediciones precisas y de respuesta rápida de las mismas, p. a través de un codificador de eje o de posición, o posiblemente observando el comportamiento de la tensión y la corriente del motor. Si estas funciones relacionadas con el variador se combinan con alguna lógica combinacional y secuencial simple para las entradas de los sensores de la máquina, como interruptores de puerta e interruptores de llave, entonces se puede implementar una gran clase de aplicaciones de seguridad.
Estándares para partes relacionadas con la seguridad de los sistemas de control de maquinaria
La necesidad de una gestión e implementación rigurosas del diseño del sistema de seguridad significa que los estándares internacionales relevantes son complejos y densos. En esta nota, solo veremos algunas características clave de los estándares más relevantes para la seguridad de la maquinaria.
Las normas internacionales tienen el prefijo ISO o IEC. Las normas europeas CENELEC tienen el prefijo EN. Veremos las versiones EN aquí, los formularios internacionales usan los mismos números con diferentes prefijos. Las versiones EN tienen el estatus de normas armonizadas para la Directiva de Máquinas de la CE.
La base de gran parte de la estandarización de los sistemas eléctricos/electrónicos/programables relacionados con la seguridad es EN 61508- Serie #, partes 1 a 7. Estas no son normas armonizadas en sí mismas, ya que cubren todos los sistemas y no solo los sistemas de control para máquinas.
Niveles de integridad de seguridad
El SIL o PL requerido para una función de seguridad dada está vinculado al grado de riesgo que la función tiene que mitigar, es decir, la probabilidad y la gravedad de una posible lesión. El proceso de decisión comienza con la evaluación de riesgos de la máquina, que se describe en EN ISO 12100. . Las reglas para derivar el SIL o PL requerido se dan en EN 62061 y EN ISO 13849-1 .
Desconexión segura de par en convertidores de frecuencia (STO)
La función de seguridad más básica que puede ofrecer un convertidor es STO. Un convertidor de frecuencia que controla un motor de inducción es especialmente adecuado para esta función, ya que la etapa de potencia del inversor tiene que estar continuamente activa con un patrón de conmutación PWM complejo y bien controlado para la mayoría de los semiconductores de potencia a fin de producir cualquier par en el motor. La figura 2 ilustra la estructura de energía básica del inversor.
Figura 2:Estructura de potencia básica del inversor de enlace de CC
El motor necesita un campo magnético giratorio para producir par, que solo pueden generar los seis transistores de potencia siguiendo un patrón de conmutación complejo y bien definido que genera un voltaje trifásico establecido en los terminales de salida. En ausencia de este patrón de control, dado que la fuente de alimentación del inversor es CC, no hay fallas en el circuito de alimentación del inversor que tiendan a causar par. La falla en el peor de los casos sería donde dos transistores en los polos opuestos de las dos patas del inversor se conducen de manera no intencional, como se muestra con las flechas rojas en la Figura 2. En ese caso, fluiría una corriente alta no controlada en una fase del motor hasta que el esquema de protección contra sobrecorriente opere. o el inversor fue destruido (el fusible de entrada o el disyuntor se borra). Nada de esto genera un campo magnético giratorio, por lo que no se genera ningún par.
En el caso de un motor de imanes permanentes o de reluctancia, esta falla en el peor de los casos causaría un par de alineación temporal hasta que el dispositivo de protección operara. En el límite, el motor podría girar un paso polar para un motor PM o medio paso polar para un motor de reluctancia.
La interfaz entre la etapa de potencia del inversor y la entrada de control STO del variador debe diseñarse para mantener la probabilidad muy baja de una falla insegura, lo que significaría que el patrón de control PWM complejo se pasó inadvertidamente a los transistores del inversor. Por lo general, la disposición utiliza algún tipo de técnica "a prueba de fallas", por lo que, al igual que en el inversor mismo, las fallas de los componentes de todo tipo dan como resultado la pérdida del comando "Habilitar". Puede haber dos canales independientes para que la función STO pueda conectarse fácilmente a un controlador de seguridad de dos canales.
Funciones de seguridad de conducción más avanzadas
La mayoría de las demás funciones de seguridad designadas por el variador requieren algún análisis de datos como la corriente y/o la velocidad del motor, etc. Esto generalmente se implementa en un microcontrolador, con un segundo controlador verificando continuamente los datos de entrada y salida y las acciones del procesador, como ilustrado en la Figura 3. Invariablemente, el resultado de la detección de una discrepancia es que la unidad se desactiva a través de la función STO.
La probabilidad de una falla de hardware en la dirección peligrosa se reduce a un nivel tolerable al tener dos canales con verificación cruzada. Los dispositivos de entrada, como los interruptores, se duplican para permitir la detección de errores simples "atascados", y se pueden suministrar con pulsos eléctricos diversificados para que se puedan detectar fallas furtivas más sutiles entre canales. Los codificadores de eje incrementales básicos tienen una característica inherente útil que permite detectar la mayoría de las fallas, ya que las dos pistas de pulso tienen un cambio de fase de 90°, lo que significa que la mayoría de los errores dan como resultado una secuencia de pulso imposible de detectar. Las salidas digitales se verifican mediante pulsos de prueba regulares que prueban si una salida mantenida intencionalmente en el estado lógico alto (verdadero) todavía es capaz de bajar, a veces denominadas salidas OSSD.
La probabilidad de una falla sistemática, es decir, una falla inherente en el diseño, se reduce a un nivel tolerable mediante un proceso muy riguroso de definición de los requisitos precisos para las funciones de seguridad y el seguimiento de su implementación, prueba y documentación.
Máquinas completas y componentes de seguridad
Se debe seguir el riguroso proceso de especificación y seguimiento de las funciones de seguridad para cada aplicación individual, y el diseñador de la maquinaria es el responsable final de esto. Si se utiliza una unidad con características de seguridad funcional como parte del diseño, se convierte en un componente de seguridad, y su propia especificación y certificación de requisitos de seguridad se convierten en parte de la documentación completa del sistema.
Dentro de la Unión Europea, este requisito está incorporado en la ley en la forma de la Directiva de Maquinaria 2006/42/EC, que incluye una definición y requisitos para los componentes de seguridad cuando se comercializan por separado. En la práctica, esto suele significar que el convertidor con funciones de seguridad viene con un certificado de examen de tipo CE emitido por un organismo notificado independiente aprobado por el gobierno, para permitir su uso en el sistema de control relacionado con la seguridad de una máquina. Si tiene la función STO incorporada como estándar, de modo que pueda o no usarse como un componente de seguridad, el variador debe tener dos declaraciones CE del fabricante separadas, de acuerdo con la Directiva de Máquinas y la Directiva de Baja Tensión.
Tecnología Industrial
- Consejos de seguridad en el lugar de trabajo para maquinistas CNC
- Seguridad de accionamientos y máquinas
- Corriente, potencia y par en variadores de velocidad
- Cables de motor para variadores de velocidad
- Eficiencia energética con variadores de velocidad (Parte 2)
- Eficiencia energética con variadores de velocidad (parte 1)
- Los 5 gastos que evitará al invertir en la seguridad de las máquinas
- Principales causas de fallas en las máquinas y cómo prevenirlas
- Dispositivos de seguridad y consideraciones
- 5 consejos de seguridad para trabajar con maquinaria
- Los tres tipos de riesgos de seguridad en los talleres de mecanizado CNC