Funzione di sicurezza e norma EN 13849-1

[daccio76]

Salve a tutti,
mi sto addentrando nella norma UNI EN ISO 13849-1 che consente di determinare il performance level PL di una determinata funzione di sicurezza di una macchina.
Ipotizzando una situazione così schematizzabile riferita al controllo di un riparo mobile

Sorgente FidoCadJ | Ingrandisci | Cos'è Fidocad

dove
SQ1: interruttore meccanico ad apertura positva con due contatti NC
DI SAFE: modulo di ingressi digitali di sicurezza
PLC SAFE di sicurezza
DO SAFE: modulo di uscite digitali di sicurezza
K1,K2: contattori in serie che azionano un motore elettrico

ho i dubbi seguenti:
- che categoria di sicurezza complessiva si può realizzare (B,1,2,3,4)?
- per l'interruttore meccanico SQ1 si può considerare un'architettura a doppio canale avendo due contatti oppure a singolo canale essendo presente un solo interruttore?

[Serafino]

Precisazione

La EN ISO 13849-1 parla chiaramente di Performance Level che vanno da a a d: le categorie di sicurezza che citi si riferiscono alla EN 954-1.
La EN ISO 13849-1 prevede delle categorie ma sono espressione dell'architettura suggerita e ricordano il concetto di fault del sistema in caso di guasto espresso dalla EN 954-1.
In sostanza tuttavia il tuo sistema non è ben rappresentato in quanto non è la rappresentazione a blocchi logici del sistema ma a blocchi funzionali (infatti hai messo i componenti).
La questione che secondo me è incoerente è data dall'INPUT: se appare evidente che l'uscita ha due diversi OUT del PLC, non è del tutto evidente se l'INPUT ha due diverse entrate del PLC oppure una sola.
Nel primo caso, fatto salvo il tipo di interruttore elettromeccanico impiegato, potresti avere due segnali di ingresso e non uno solo e quindi un possibile controllo di coerenza.
Se invece hai una sola entrata, è corretta ma certamente non è un sistema a doppio canale.
In presenza di un Safety PLC, le architetture standard devono essere molto ben spezzettate per permettere di capire la logica di lavoro del sistema.
Se ipotizziamo in ogni caso che tu abbia una funzione a singolo canale, puoi impiegare l'architettura di categoria 2 che prevede un singolo canale con Test Equipment e ti garantisce di poter raggiungere un PL d.

[daccio76]

Grazie Serafino per la risposta...
L'input riceve due ingressi dall'interruttore di sicurezza che ha due contatti NC.
Il mio dubbio è se questa architettura possa essere considerata o meno a doppio canale (quindi categoria 3 o 4) oppure visto che è presente un solo interruttore in ingresso è da considerarsi comunque a singolo canale.
Questo dubbio nasce dalla lettura di quest'articolo di ErnestoCappelletti per cui, non potendo escludere il guasto meccanico all'interruttore, l'architettura in questione è da considerarsi monocale e il PL raggiungibile è massimo c. Se così è, che vantaggio ho dall'aver utilizzato un PLC di sicurezza?

[ErnestoCappelletti]

Nella valutazione dei circuiti di comando aventi funzioni di sicurezza è necessario considerare non solo i guasti di natura elettrica (ad esempio incollaggio dei contatti), ma anche quelli di origine meccanica (ad esempio rottura della spinetta di azionamento del microinterruttore di interblocco o della camme interna al microinterruttore che aziona i contatti elettrici).
Un microinterruttore singolo non è in grado di realizzare un’architettura ridondante, a meno che non si escluda il guasto meccanico; l’esclusione del guasto meccanico per i microinterruttori è sconsigliata dal rapporto tecnico CEI CLC/TR 62061-1:2011 e dalla norma UNI EN ISO 13849-2:2013.
Inoltre, per escludere un guasto meccanico bisognerebbe perlomeno rispettare tutti i vincoli per l’utilizzo del componente indicati dal fabbricante; nel caso di microinterruttori, ad esempio, i fabbricanti indicano sempre una velocità massima di inserimento della spinetta, che è praticamente impossibile limitare.

Ernesto

[daccio76]

Grazie mille per il chiarimento, ErnestoCappelletti

[Guerra]

Sempre interessante leggere quello che scrivi, ErnestoCappelletti

[daccio76]

Sempre interessante leggere quello che scrivi, ErnestoCappelletti

Concordo in toto...

[Serafino]

Non concordo
Le architetture di tipo 2 sono dei singoli canale con TE e raggiungono il PL d tranquillamente.
Non è necessario escludere un guasto, ma se la sua probabilità di accadimento è assai remota, come appunto il guasto meccanico dei microinterruttori, non inficia il PL.
Per quanto concerne l'esclusione dei guasti meccanici, deve essere certo che tale guasto sia un dangerous failure: in caso differente è escludibile senza problemi.
Affermare che un guasto meccanico non è DF con un PLC di sicurezza è cosa assolutamente fattibile.
Escludere un guasto meccanico come DF SENZA un PLC si sicurezza è, come detto improbo.
Esempio banale: richiesta di apertura accesso --> se entro 20 secondi non ho una commutazione dell'interruttore, pongo la macchina in condizioni sicure. Se anche la spinetta di ompesse (esempio non "spinge il contatto") il mio sistema non risente del problema. Ne risente invece se rimane incollato un contatto elettrico perché, in ultimo, by-passerebbe il mio timer di sicurezza.
Il come funziona è importante tanto quanto il come è fatto

[ErnestoCappelletti]

@Serafino

Verissimo che un circuito con un’architettura di categoria 2 si può raggiungere un PL d, ma se si vuole utilizzare il procedimento semplificato per la stima del PL descritto al §4.5.4 della norma UNI EN ISO 13849-1:2008 (che di fatto è l’unico procedimento che viene utilizzato) è necessario anche che la frequenza di prova del funzionamento del circuito sia almeno 100 volte la frequenza di intervento della funzione di sicurezza.
Nella pratica quindi la categoria 2 è applicabile a circuiti elettronici o comunque con una logica complessa in grado di controllare il funzionamento senza fare intervenire la funzione di sicurezza, mentre per componenti elettromeccanici non è fattibile; per controllare il corretto funzionamento di in microinterruttore bisogna farlo intervenire e lo stesso vale per un teleruttore. Quindi per circuiti che comprendono componenti elettromeccanici pere raggiungere un PL d è necessario utilizzare un’architettura ridondante conforme alla categoria 3 o 4.
Il guasto meccanico di un microinterruttore azionato da una spinetta non è escludibile, innanzitutto perché, come ho detto nel mio precedente post, non si riesce a garantire tutte le condizioni di funzionamento prescritte dal fabbricante, non fosse per altro almeno per la velocità di inserimento della chiavetta; nella mia esperienza ho visto più di un guasto pericoloso di microinterruttori di interblocco di ripari per rottura della camme interna azionata dalla spinetta.
Il guasto meccanico di un microinterruttore è quasi sempre pericoloso, ma comunque non è possibile diagnosticarlo con un temporizzatore; infatti non è la richiesta di accesso la funzione di sicurezza, ma bensì l’apertura del riparo; se una persona apre il riparo senza avere prima fatto la richiesta di accesso e il microinterruttore non funziona, come può il circuito di comando della macchina accorgersi che la porta è stata aperta?
Chiaramente non stiamo parlando di interblocchi con blocco del riparo, ma anche se così fosse non si potrebbe fare una correlazione tra le due funzioni (interblocco e blocco del riparo) perché i componenti non sono gli stessi; anche se l’interblocco ed il blocco fossero fatti dallo stesso componente, di fatto all’interno dello stesso le due funzioni vengono eseguite da parti diverse (la bobina per il blocco e i contatti per l’interblocco).
Infine, la direttiva macchine (§1.4.2.2) prescrive che gli interblocchi dei ripari mobili arrestino gli elementi pericolosi prima che sia possibile raggiungerli; la norma di riferimento per le distanze di sicurezza è la UNI EN ISO 13855:2010 (formula 2) ovvero S=(KxT)+C, dove K=1600 mm/s; anche assumendo C=0 se si attendessero 20 secondi prima di accorgersi che l’interblocco non ha funzionato, la distanza tra il riparo mobile e la zona pericolosa protetta dovrebbe essere pari a 32 metri. L’esempio è comunque non applicabile per quanto detto prima sulla richiesta di accesso.

Buona serata a tutti e ringrazio @Guerra e @daccio76 per i commenti positivi

[daccio76]

Grazie ancora Ernesto per gli approfondimenti e le precisazioni....sei stato chiarissimo!



Mi rimane però ancora un dubbio relativo al caso in essere del post iniziale ed espresso in [3]:

..che vantaggio ho dall'aver utilizzato un PLC di sicurezza?

Ha senso in una configurazione del genere?