Sblocco delle porte interbloccate

[fantom2002]

PREMESSE:

a. i concetti espressi nella ISO 13849-1 sono gli stessi discussi e referenziati nella IEC 61511, per cui anche se con accezioni e applicazioni differenti, le argomentazioni e i ragionamenti sono abbastanza simili.
b. fino all'anno scorso ero progettista e fornitore di impianti su specifiche del cliente, ora sono cliente, e ti posso assicurare che spesso il Cliente inserisce nei capitolati richieste tecniche e normative del tutto inapplicabili... ahimè è la mera verità!! Diamo però per assodato che hai già verificato che la richiesta di applicare la ISO 13849-1 è applicabile.


CONCLUSIONI, PER QUANTI NON AVRANNO LA FORZA DI LEGGERE TUTTO
Candy a mio avviso i tuoi ragionamenti sono del tutto esatti (più qualche mio punto oscuro), non capisco perché non ritieni proprio il requisito di rispettare la ISO 13849-1 il tuo punto di forza nel richiedere l'utilizzo di un PLC di sicurezza.


TESTO INTEGRALE
Candy sto cercando di inquadrare meglio la tua richiesta, o meglio il problema che ci hai sottoposto, ma per ora faccio ancora fatica, per cui provo a fare un po di chiarezza (nella mia mente, almeno).
Abbiamo un macchinario in cui un organo meccanico può essere pericoloso se avvicinato mentre ancora è in movimento. A tal fine si racchiude questo macchinario all'interno di un cabinato con una porta di accesso. Il macchinario è controllato da un PLC funzionale (per cui che gestisce le logiche di "normale funzionamento", ovvero operative, comprese l'avvio e la fermata normale.
A questo punto due possibili scenari:

1. Se apro la porta di accesso al cabinato, tutti gli organi meccanici al suo interno devono fermarsi in tempo (diciamo) ZERO per evitare pericoli all'operatore
2. Se voglio entrare all'interno del cabinato, dovrò aspettare che tutti gli organi meccanici all'interno dello stesso siano fermi, perché solo allora un blocco meccanico applicato alla porta dovrà permettere l'apertura della stessa.

Ora, delle due situazioni credo di poter scartare la 1. perché per quello che scrivi si capisce che non esiste la possibilità di imporre una fermata immediata degli organi meccanici, ma anche perché non mi sembra sia quello che chiedi, sia nel post [1] che [7].

Sopratutto, il post [7] mi sembra che sia chiaro in merito a quello che ti viene richiesto: l'operatore fa una richiesta di accesso (mediante pulsante, mediante PLC funzionale, non ha importanza), a quel punto il PLC gestisce la richiesta come un normale comando di fermata operativa (quindi non di emergenza), e solo a organi meccanici fermi il blocco porta deve "sbloccarsi".

Credo che fin qui non ci sia nulla di errato nella mia ricostruzione (speriamo).

Allora, la soluzione B del Costruttore sarebbe accettabile se (E SOLO SE) il PLC è certificato per operazioni di sicurezza (quindi con grado PL adeguato) AND il produttore di tale Safety PLC può certificare che dal punto di vista funzionale (sia HW che SW) la sezione di controllo e la sezione di sicurezza implementate sul PLC siano assolutamente e completamente distinte e non interferibili l'uno con l'altro. Altrimenti la stessa ISO 13849-1 impone due sistemi distinti (sicuramente vale per la IEC 61508/61511, bisogna leggersi la ISO per trovare il punto in cui ciò è scritto).

Ci sono però dei punti che ancora mi sono oscuri.
Nel post [1], alla fine, parli di

modulo di sicurezza

. Cos'è? Come è collegato al resto?

Veniamo ora ad un altro particolare:

il microinterruttore Interviene sul modulo di sicurezza che toglie energia ai motori. Attenzione: toglie energia. Non li ferma.

In che modo toglie energia ai motori? Aprendo un contattore sull'alimentazione degli stessi all'interno dell'inverter? se è così, immagino che il modulo di sicurezza (ancora non so cosa sia) apra un contatto predisposto all'uopo nell'inverter, il quale agisce sui suoi contattori interni. l'inverter è certificato per operazioni di sicurezza? Oppure agisci su un contattore esterno all'inverter? Scarterei questa seconda opzione perché l'inverter dovrebbe essere informato dell'apertura del carico (i motori) e reagire di conseguenza. In ogni caso, questi microinterruttori garantirebbero la sicurezza ma solo perché assicurano che una volta aperta la porta gli organi meccanici non possono ripartire; ma non risolve il problema dell'apertura stessa della porta.

Quanto riportato nel post [6] da WALTERmwp non mi quadra, perché anche ad avere una ridondanza nella rilevazione dello stato "safe", queste informazioni verrebbero comunque processate da un PLC funzionale, il quale potrebbe fallire non essendo certificato, e quindi essere un elemento debole nella catena di sicurezza. A questo punto a cosa sarà servita la ridondanza?

Post [7]: mi sembra tutto perfetto e coerente. Uniche cose che non capisco sono:
1. ancora, cosa è un modulo di sicurezza (poi anche chiamato modulo principale di sicurezza e ancora modulo master)?
2. il contatto che forza il blocco della porta non dovrebbe essere n.a., chiuso per porta sbloccata? in questo modo se perdi il comando (filo tranciato, etc..) resti in sicurezza non permettendo l'apertura della porta.

[Candy]

Modulo di sicurezza inteso come un componente elettromeccanico che controlla gli ingressi, magari ridondanti, attua delle uscite, ed ha un reset, (dopo l'intervento), controllato.
Li ho sempre chiamati e sentiti denominare moduli di sicurezza, ma se preferisci chiamalo "Preventa", "PNOZ X3", "ACSR8", "Guard ...", quello che vuoi. Componenti elettromeccanici, (che mi pare qualcuno ormai ha comperato e per questo è reticente al cambio verso un piccolo PLC safety). Ne esisotno di diversai tipi: a due contatti, a tre, a quattro, a contatti n.a., a contatti n.c., a contatti ritardati, ecc. Ogni loro funzione è certificata dal costruttore per rispondere a norme di prodotto.

Il cliente finale, vuole solo un foglio firmato dove si scrive che il PL corrisponde al PLr.
Il mio cliente costruttore vuole accontentare il suo cliente finale, senza altre rogne. E chiede a me di affrontare il problema.
Io vorrei evitare, e non voglio farlo, di fare solo carte, ma fare in modo che queste corrispondano ad una sicurezza reale e concreta.

[WALTERmwp]

Ciao fantom2002, riprendo una parte di quanto prima scritto sulla scorta della tua osservazione ovvero ...

Quanto riportato nel post [6] da WALTERmwp non mi quadra, perché anche ad avere una ridondanza nella rilevazione dello stato "safe", queste informazioni verrebbero comunque processate da un PLC funzionale, il quale potrebbe fallire non essendo certificato

... la ridondanza è intesa come rinforzo cautelativo della funzione di controllo indicata e non quale prerequisito di caratterizzazione "safty".
Il proposito sarebbe, comunque, per quanto indicato nel Post [8], quello di prevedere ...

Dal punto di vista elettromeccanico, per esempio, l'inverter risulterebbe non alimentato e non potrebbe essere alimentato (anche a fronte di un errore nel PLC funzionale) al contrario del PLC che, rimanendo operativo, interpreterebbe la situazione come tale (una sorta di stand-by)

Le ipotesi formulate tengono in considerazione il fatto che il cliente non intende ricorrere ad un "Saftey_PLC" (per altro più semplice da integrare, ma non esprimo osservazione in merito) e che, al tempo stesso, sia opportuno garantire in modo intrinseco l'interruzione della attuazione di un eventuale comando proveniente dal PLC.
Questo quale prerequisito utile a consentire l'apertura della porta e dare la possibilità di intervenire in uno stato operativo che non è quello determinato dalla richiesta d'emergenza.

Saluti

[Candy]

Per gli inverter: si, hanno il classico "STO", e solo quello. La rampa di rallentamento invece non è una funzione di sicurezza controllabile, protrebbe mandare l'inverter in avaria con la perdita di controllo del reallentamento ed i motori a ruota libera. (Non mi risulta di inverter con rampa di rallentamento come funzione di sicurezza).

[fantom2002]

... la ridondanza è intesa come rinforzo cautelativo della funzione di controllo indicata e non quale prerequisito di caratterizzazione "safty".
Il proposito sarebbe, comunque, per quanto indicato nel Post [8], quello di prevedere ...

ma il concetto di ridondanza ha senso solo in applicazioni di safety. Non serve rinforzare una funzione di controllo ,se questa stessa non è "sicuramente attuata" perché implementate su un PLC funzionale che per sua natura è leggittimato a guastarsi.

Le ipotesi formulate tengono in considerazione il fatto che [...]sia opportuno garantire in modo intrinseco l'interruzione della attuazione di un eventuale comando proveniente dal PLC.

Le garanzie le puoi certificare solo se usi un Safety PLC, altrimenti no. Quindi puoi ridondare tutti i sensori che vuoi, ma se poi li dai in pasto ad una logica implementata in un PLC di controllo... devi solo farti il segno della croce e incrociare le dita...

[fantom2002]

Il cliente finale, vuole solo un foglio firmato dove si scrive che il PL corrisponde al PLr.
Il mio cliente costruttore vuole accontentare il suo cliente finale, senza altre rogne. E chiede a me di affrontare il problema.
Io vorrei evitare, e non voglio farlo, di fare solo carte, ma fare in modo che queste corrispondano ad una sicurezza reale e concreta.

Mi spiace dirti che quello che i tuoi clienti (finale e diretto) ti chiedono è più che legittimo. Ma sono d'accordo con te nel dire che devi

fare in modo che queste corrispondano ad una sicurezza reale e concreta

. Detto questo, quindi, ti leggi la ISO, trovi il punto in cui si dice che le funzioni di safety devono rispondere a certi requisiti tecnici di indipendenza e di affidabilità, e gli dimostri che allo stato attuale hai:

1.
2. un modulo di sicurezza che può implementare la logica di blocco della porta (deve però essere corredato da certificato di rispondenza alla ISO 13849-1)
3. un dispositivo elettromeccanico di sblocco porta (anch'esso corredato da certificato ISO)

ma che ti manca qualcosa da mettere al punto 1, cioè un sensore (o coppia di sensori) che rilevi la situazione di meccanica ferma. Quello che volevi fare tu (farti dare un segnale dal PLC funzionale che ti comandasse lo sblocco della porta attraverso il modulo di sicurezza non è safe perché questo comando potrebbe essere spurio(sempre perché viene da un PLC non di sicurezza).

Edit: se l'inverter mette a disposizione un contatto sicuro di feedback di contattore aperto (=motore deenergizzato) potresti usare quello con un opportuno temporizzatore per riportare questo segnale in ingresso al modulo di sicurezza (dopo il tempo stimato di fermo meccanica). Ma questo temporizzatore, che valori di MTTF avrà?

[WALTERmwp]

Per questo ...

Le garanzie le puoi certificare solo se usi un Safety PLC, altrimenti no. Quindi puoi ridondare tutti i sensori che vuoi, ma se poi li dai in pasto ad una logica implementata in un PLC di controllo

... probabilmente attribuisci un significato che io non ho inteso riportare; il proposito non è, per quanto ho scritto, quello di riprodurre una installazione "Safety" con prodotti che non sono classificati come tali ma "interrompere" la catena di comando a livello intrinseco (hardware) proprio per evitare che, anche qualora un eventuale comando dovesse essere attivato dal PLC funzionale in una condizione che comunque non lo prevederebbe, possa movimentare una utenza.

Saluti

[fantom2002]

Accesso all'interno della cabina, con dispositivi non alimentati, consentito tramite lo sbocco del Safety Switch (non so se era inteso come micro) previa acquisizione del segnale di motore fermo (velocità zero dall'inverter, assenza comando start ?) e del segnale "assenza rotazione" dell'alimentatore circolare acquisito tramite sensore funzionale allo scopo (l'informazione "assenza di rotazione" potrebbe essere ridondante rispetto al tempo di attesa predefinito per ritenere la massa in condizione di riposo).
Non credo ciò costituisca una approssimazione e potrebbe essere valutata come una soluzione di buon senso.

WALTERmwpAllora forse il fraintendimento nasce da quanto riportato qui. Quello in grassetto mi fa nascere il dubbio: chi acquisirebbe questi due segnali?

[Candy]

Quello che volevi fare tu (farti dare un segnale dal PLC funzionale che ti comandasse lo sblocco della porta attraverso il modulo di sicurezza non è safe perché questo comando potrebbe essere spurio(sempre perché viene da un PLC non di sicurezza).

Ma infatti, e, se sono stato poco chiaro, probabile, ripeto: il PLC funzionale andrebbe a comandare un qualche relè di sicurezza, messo in serie alla catena dei pulsanti, come se fosse un ulteriore pulsante. In questo modo, se il PLC effettua una richiesta di arresto, corretta, la porta si sblocca in modo correto. Se il PLC funzionale fa una richiesta di arresto spuria, l'impianto si arresta sempre in sicurezza, e la porta si sblocca in sicurezza, perché il circuito è quello. Sarà poi cura della manutenzione preoccuparsi sul perché l'arresto è stato involontario, ma la sicurezza non è intaccata.

[fantom2002]

Si giusto, la stanchezza comincia a farsi sentire... la cosa l'avevo capita all'inizio poi l'ho ripresa per errore.

Però in questo caso subentra un altro fattore: la disponibilità dell'impianto. Per il cliente finale una fermata dell'impianto significa costi, guadagni mancati, etc...

Quanto è disposto quindi ad accettare una fermata per intervento spurio?

Di solito un assesment di sicurezza (HAZOP) tiene conto anche di questi fattori.

Ora comincio ad essere stanco e sento che mi stanno sfuggendo certi aspetti... ci dormo su e ci penso. E se domani la rete aziendale mi permette di "istruirmi" interagendo con voi... ci ritorniamo su, altrimenti vedrò di trovare altri mezzi.