Garantizando la seguridad de máquinas con variadores de velocidad: Funciones clave y mejores prácticas

Principios generales de funciones de seguridad en equipos electrónicos

Este blog da una introducción al uso de variadores de velocidad en funciones de seguridad de maquinaria. Está destinado a ayudar a quienes están familiarizados con variadores de CA pero menos con sistemas de control relacionados con seguridad. Debe ayudar al lector a entender los principios y continuar accediendo a la gran cantidad de material detallado disponible sobre sistemas relacionados con seguridad.

El término "Seguridad Funcional" se aplica donde equipos eléctricos, electrónicos o programables se usan para realizar funciones que afectan la seguridad humana. Es un tema enorme, que incluye aplicaciones diversas como señalización ferroviaria y monitorización y control de grandes plantas de proceso donde muchas personas podrían estar en riesgo en caso de accidente. Sin embargo, más comúnmente en aplicaciones de variadores se referiría a algún tipo de maquinaria, donde el sistema de control puede usarse para prevenir una situación donde una persona estaría en riesgo de lesión por la operación de la maquinaria. Un ejemplo simple es una barrera de seguridad, que necesita abrirse frecuentemente para obtener acceso a parte de la maquinaria, pero cuando está abierta la maquinaria no debe poder operar. Un sistema de sensores y actuadores puede diseñarse para detectar el estado de la barrera y controlar la máquina.

Con la disponibilidad de equipos inteligentes programables como PLCs y VSDs digitales, los sistemas de seguridad pueden ser más flexibles e inteligentes que este ejemplo, permitiendo operación flexible manteniendo aún la seguridad. Por ejemplo, podría ser posible permitir operación continua a velocidad reducida cuando una barrera está abierta, posiblemente condicional a una llave de seguridad especial operada por una persona cualificada, o quizás cuando se reconoce el rostro de esa persona, u otra precaución.

Modos de fallo

El factor crucial con funciones de seguridad es que la fiabilidad de la función tiene que ser considerablemente mejor que la que puede lograrse con equipos eléctricos, electrónicos o programables convencionales. Por buena que sea la calidad de un circuito eléctrico o electrónico convencional, pueden ocurrir fallos de componentes que resulten en que no realice la función de seguridad requerida, pero sin que el fallo sea aparente. El hardware para funciones de seguridad tiene que diseñarse por tanto con características de auto-test o "fail-safe" integradas. Durante el desarrollo del producto, los efectos de fallos de hardware tienen que analizarse en un Análisis de Modos de Fallo y Efectos (FMEA) y los modos de fallo potencialmente peligrosos deben reducirse por diseño a un nivel muy bajo. Un objetivo típico para el PFH_D (probabilidad de fallo en dirección peligrosa) para nivel de integridad SIL3 sería 10^-8 por hora, es decir, una tasa de fallo de menos de uno por 10,000 años. Tasas de fallo tan bajas siempre requieren estructuras especiales en sistemas de control electrónicos. Nota aquí que nos referimos a fallos aleatorios que ocurren durante la vida de trabajo prevista del equipo, y no a esperanza de vida. Partes con mecanismos de desgaste conocidos dentro de la vida prevista del sistema pueden gestionarse con mantenimiento planificado.

Estructuras de control

En la mayoría de aplicaciones involucrando variadores, la seguridad de una máquina fija está siendo abordada, y la opción más común es usar dos canales independientes para la función de seguridad, con verificación cruzada dispuesta de modo que en caso de discrepancia el variador se detiene, es decir, el par de accionamiento se detiene. En la mayoría de máquinas esto resulta en un estado seguro. Para una máquina como un polipasto que podría moverse por gravedad sin variador, se deben tomar medidas para asegurar que no pueda causar peligro cuando desaparece el par de accionamiento.

La Figura 1 ilustra un sistema básico de seguridad de dos canales también referido como sistema "uno de dos" u 1oo2, significando que si uno de los dos canales solicita una parada, la máquina se detiene. Este es el arreglo más común para un sistema de control de seguridad de maquinaria. Un fallo en cualquiera de los sensores o procesadores de acondicionamiento de señal no lleva a pérdida de la función de seguridad. Nota que la Figura 1 es solo un diagrama funcional, la "puerta AND" en la salida no es un simple chip lógico, porque eso introduciría un mecanismo de fallo de punto único, si el chip lógico fallara. Podría ser una entrada STO de dos canales en el variador, u otro método donde se elimine la falla de causa común de un solo dispositivo.

Figura 1: Estructura de control uno-de-dos

La función de diagnóstico mostrada en gris es usualmente necesaria para asegurar seguridad continua, porque sin ella, aunque un fallo en un canal no cause que la función de seguridad falle, sería posible que la máquina continuara operando indefinidamente con un canal en estado inseguro. Un segundo fallo llevaría entonces a una condición peligrosa.

Software/firmware

El uso de procesadores empotrados ejecutando firmware y software introduce una nueva dimensión a la seguridad funcional. El software no tiene fallos aleatorios, pero su complejidad significa que es difícil asegurar que opera como se pretende bajo todas las condiciones y secuencias de eventos. Esto no puede probarse con una prueba del sistema completo como "caja negra" – el software tiene que escribirse en un lenguaje bien definido con medidas para evitar errores de codificación, y estructurado cuidadosamente en módulos que puedan especificarse y probarse en cada paso. También tiene que probarse que los módulos no pueden verse afectados adversamente por otras actividades en el sistema de procesador, y esto es difícil si otro código no de seguridad corre en el mismo procesador.

La disciplina necesaria de crear una especificación clara e inequívoca, con un plan de prueba, y documentar exhaustivamente el proceso, aplica tanto a escribir el código como a diseñar el sistema completo.

Un control importante sobre calidad de software es distinguir un "lenguaje de variabilidad limitada" (LVL) de un "lenguaje de variabilidad completa" (FVL). El LVL está restringido a configurar módulos pre-aprobados con funciones bien definidas de forma restringida para que el resultado pueda probarse con un programa de prueba secuencial simple. El LVL habría sido creado usando un FVL como C++ etc., que había pasado un proceso de diseño riguroso completo, y luego se bloqueó más allá del acceso del programador LVL.

La facilidad con que el software puede cambiarse también significa que un sistema seguro de control de versiones debe estar en su lugar, incluyendo la prevención de alteraciones no autorizadas.

Aplicaciones de variadores

Muchas funciones de seguridad que comprenden secuencias simples y combinaciones de entradas para controlar salidas pueden implementarse en un PLC con características especiales para prevenir peligros de fallos de hardware y errores de software, es decir, un "PLC de seguridad". Sin embargo, hay aplicaciones donde el variador está especialmente bien colocado para implementar tales funciones rentablemente:

• Prevención de accionamiento – el variador inversor tiene características únicas que lo adaptan al eslabón final en la cadena de seguridad, que es prevenir que se desarrolle par en el motor cuando se requiera, con integridad muy alta. Esto se define como Safe Torque Off (STO).
• Restricción del alcance de movimiento, incluyendo par, aceleración, velocidad, dirección o posición, ya sea en valores absolutos o relativos como incrementos de posición. El variador controla estas variables y a menudo tiene mediciones precisas y de respuesta rápida de ellas, ej. a través de un codificador de eje o posición, o posiblemente observando el comportamiento del voltaje y corriente del motor. Si estas funciones relacionadas con el variador se combinan con alguna lógica combinacional y secuencial simple para entradas de sensores de máquina como interruptores de puerta y llaves, entonces una gran clase de aplicaciones de seguridad puede implementarse.

Estándares para partes relacionadas con seguridad de sistemas de control de maquinaria

La necesidad de gestión e implementación rigurosa de diseño de sistemas de seguridad significa que los estándares internacionales relevantes son complejos y densos. En esta nota solo veremos algunas características clave de los estándares más relevantes para seguridad de maquinaria.

Los estándares internacionales tienen prefijo ISO o IEC. Los estándares europeos CENELEC tienen prefijo EN. Veremos las versiones EN aquí, las formas internacionales usan los mismos números con diferentes prefijos. Las versiones EN tienen el estatus de estándares armonizados para la Directiva de Máquinas CE.

EN ISO 12100 describe cómo debe realizarse la evaluación de riesgos de maquinaria, resultando en la asignación de funciones de seguridad al sistema de control si es necesario. Este es un precursor esencial para el diseño correcto del control relacionado con seguridad, y es responsabilidad del diseñador de la máquina.

EN 61800-5-2 es un estándar para seguridad funcional de sistemas de accionamiento de potencia. Define una serie de funciones[1] particularmente adaptadas a variadores, referidas como "sub-funciones de seguridad designadas", como Safe Torque Off (STO), Velocidad Limitada Segura (SLS) etc. La integridad de seguridad de una función de seguridad completa se mide por el SIL, que puede tomar valores de 1 (más bajo) a 3. Dado que el variador es un subsistema de un sistema de control completo relacionado con seguridad, esto se refiere a su "capacidad SIL".

EN 62061 es un estándar para sistemas de control de máquinas eléctricos/electrónicos/programables, que usa la misma métrica SIL que EN 61800-5-2.

EN ISO 13849-1 es un estándar para sistemas de control de máquinas, incluyendo sistemas no eléctricos. Usa una métrica diferente, el Nivel de Rendimiento (PL) y Categoría (de B a 4). Un estándar suplementario EN ISO 13849-2 cubre "Validación", que incluye guía sobre qué fallos necesitan considerarse y cuáles pueden descontarse ("exclusiones de fallo").

La base de gran parte de la estandarización de sistemas eléctricos/electrónicos/programables relacionados con seguridad es la serie EN 61508-#, partes 1 a 7. Estas no son en sí mismas estándares armonizados ya que cubren todos los sistemas y no solo sistemas de control para máquinas.

Niveles de integridad de seguridad

El SIL o PL requerido para una función de seguridad dada está vinculado al grado de riesgo que la función tiene que mitigar – es decir, la probabilidad y severidad de una posible lesión. El proceso de decidir esto comienza con la evaluación de riesgos de la máquina, descrita en EN ISO 12100. Reglas para derivar el SIL o PL requerido se dan en EN 62061 y EN ISO 13849-1.

Safe Torque Off en variadores inversores (STO)

La función de seguridad más básica que un variador puede ofrecer es STO. Un variador inversor controlando un motor de inducción está particularmente adaptado a esta función, porque la etapa de potencia del inversor tiene que estar continuamente activa con un patrón de conmutación PWM complejo y bien controlado para la mayoría de los semiconductores de potencia para producir cualquier par en el motor. La Figura 2 ilustra la estructura básica de potencia del inversor.

Figura 2: Estructura básica de potencia de inversor de enlace CC

El motor necesita un campo magnético rotativo para producir par, que solo puede generarse por los seis transistores de potencia siguiendo un patrón de conmutación complejo y bien definido que genera un conjunto de voltaje trifásico en los terminales de salida. En ausencia de este patrón de control, dado que la alimentación del inversor es CC, no hay fallos en el circuito de potencia del inversor que puedan tender a causar par. El peor caso sería donde dos transistores en polos opuestos de dos patas del inversor conducen inadvertidamente, como muestran las flechas rojas en la Figura 2. En ese caso, una alta corriente incontrolada fluiría en una fase del motor hasta que operara el esquema de protección contra sobrecorriente o el inversor fuera destruido (el fusible o interruptor de entrada desconecta). Nada de esto da un campo magnético rotativo, así que no se genera par.

En el caso de un motor de imán permanente o reluctancia, este fallo de peor caso causaría un par de alineación temporal hasta que operara el dispositivo de protección. En el límite, el motor podría rotar un paso de polo para un motor PM o medio paso de polo para un motor de reluctancia.

La interfaz entre la etapa de potencia del inversor y la entrada de control STO del variador tiene que diseñarse para mantener la probabilidad muy baja de un fallo inseguro, lo que significaría que el patrón de control PWM complejo era inadvertidamente pasado a los transistores del inversor. Típicamente el arreglo usa algún tipo de técnica "fail safe", whereby just as in the inverter itself, component failures of all kinds result in a loss of the "Enable" command. Pueden haber dos canales independientes para que la función STO pueda interconectarse fácilmente a un controlador de seguridad de dos canales.

Funciones de seguridad de variador más avanzadas

La mayoría de las otras funciones de seguridad designadas de variador requieren algún análisis de datos como corriente del motor y/o velocidad, etc. Esto se implementa típicamente en un microcontrolador, con un segundo controlador verificando continuamente los datos de entrada y salida y las acciones del procesador, como se ilustra en la Figura 3. Invariablemente, el resultado de detectar una discrepancia es que el variador se desactiva a través de la función STO.

La probabilidad de un fallo de hardware en dirección peligrosa se reduce a un nivel tolerable teniendo dos canales con verificación cruzada. Dispositivos de entrada como interruptores se duplican para permitir detección de errores simples "atascados en", y pueden suministrarse con pulsos eléctricos diversificados para que fallos sutiles entre canales puedan detectarse. Codificadores de eje incrementales básicos tienen una característica útil inherente que permite detectar la mayoría de fallos, ya que las dos pistas de pulsos tienen un desfase de 90° lo que significa que la mayoría de errores resultan en una secuencia de pulsos imposible, que puede detectarse. Las salidas digitales se verifican con pulsos de prueba regulares que prueban si una salida intencionalmente mantenida en estado alto (verdadero) sigue siendo capaz de ir a bajo – a veces referidas como salidas OSSD.

La probabilidad de un fallo sistemático, es decir, un fallo inherente en el diseño, se reduce a un nivel tolerable por un proceso muy riguroso de definir los requisitos precisos para las funciones de seguridad y rastrear su implementación, prueba y documentación.

Máquinas completas y componentes de seguridad

El proceso riguroso de especificar y rastrear funciones de seguridad tiene que seguirse para cada aplicación individual, y el diseñador de la máquina es ultimadamente responsable de esto. Si un variador con características de seguridad funcional se usa como parte del diseño, entonces se convierte en un componente de seguridad, y su propia especificación de requisitos de seguridad y certificación se convierten en parte de la documentación del sistema completo.

Dentro de la Unión Europea este requisito está incrustado en ley en la forma de la Directiva de Máquinas 2006/42/CE, que incluye una definición y requisitos para componentes de seguridad donde se ponen en el mercado por separado. En la práctica esto usualmente significa que el variador con funciones de seguridad viene con un certificado de examen de tipo CE emitido por un Organismo Notificado independiente aprobado por el gobierno, para permitir su uso en el sistema de control relacionado con seguridad de una máquina. Si tiene la función STO incorporada como estándar, de modo que podría o no usarse como componente de seguridad, el variador entonces tiene que tener dos declaraciones de fabricante CE separadas, según la Directiva de Máquinas y la Directiva de Baja Tensión.