Контролируемый пневматический предохранительный клапан — это резервированная подсистема управления энергией, которая подаёт воздух только при корректной работе обоих каналов, а при требовании функции безопасности перекрывает питание и стравливает давление ниже по потоку. Обратная связь сообщает контроллеру безопасности, достигли ли элементы ожидаемого состояния. Любое расхождение снимает команду и может блокировать повторный запуск до устранения неисправности.
Категория 3 или 4 не относится только к маркировке клапана. Категория описывает архитектуру и поведение при отказах всей системы управления, связанной с безопасностью. Клапан, датчики, логика безопасности, проводка, пневматический контур, диагностика, поведение при сбросе и физическая реакция машины в совокупности должны обеспечить требуемый уровень эффективности безопасности.
Ключевые выводы
- ISO 13849-1:2023 распространяется на электрические, гидравлические, пневматические, механические и программные системы управления, связанные с безопасностью.
- Два резервированных элемента клапана могут сохранить безопасный выхлоп после отказа одного элемента.
- Обратная связь должна совпадать с командой в пределах документированного для изделия временного окна.
- Контролируемый клапан не доказывает, что машина достигла безопасного состояния.
Что означает категория 3/4 для пневматического предохранительного клапана?
ISO 13849-1:2023 — это методология объёмом 152 страницы для систем управления, связанных с безопасностью, а не таблица выбора изделий, назначающая один PLr для любого применения клапана. Она распространяется на пневматические и другие технологии, но прямо не задаёт функцию безопасности или требуемый уровень эффективности для конкретной машины (ISO, 2023).
Производители могут заявлять, что изделие пригодно для применения до категории 4, PL e, при заданных условиях. Такое заявление даёт подтверждение для компонента или подсистемы, но не сертифицирует готовую машину. Интегратор по-прежнему должен определить функцию безопасности, установить PLr, смоделировать реальную архитектуру, следовать руководству по безопасности и валидировать отклик установленной системы. Категория описывает требования к структуре и поведению при отказах. Уровень эффективности (PL) описывает способность связанной с безопасностью системы управления выполнять функцию безопасности в прогнозируемых условиях. Категория влияет на PL, но на результат также влияют надёжность компонентов, диагностическое покрытие, меры против отказов по общей причине, систематические меры, программное обеспечение и интерфейсы подсистем.
Это различие предотвращает распространённую ошибку в спецификации: запрос «клапан категории 4» без определения того, что именно должно стать безопасным. В зависимости от опасности машине могут потребоваться безопасный выхлоп, предотвращение неожиданного повышения давления, управляемый возврат, безопасное удержание нагрузки или их сочетание. Стравливание воздуха может создать новую опасность, если вертикальная нагрузка опустится или зажим разожмётся.
Для проектирования на уровне системы используйте руководства по пневматическим контурам безопасности ISO 13849 и интеграции предохранительных выхлопных клапанов в ограждение машины. Эта статья остаётся в границах работы клапана и мониторинга.
Два рабочих состояния контролируемого предохранительного выхлопного клапана
Внешне контролируемый P33 компании Parker использует два рабочих соленоида, которые должны срабатывать одновременно; для этого изделия документирован предел синхронности 150 ms. Функция 3/2 соединяет порт питания 1 с выходом 2 при срабатывании, а после отключения перекрывает порт 1 и соединяет выход 2 с выхлопным портом 3 (Parker, доступ получен в 2026 году).
Эта последовательность показывает обычную логику работы резервированного предохранительного выхлопного клапана:
| Состояние клапана | Электрическая команда | Путь питания | Путь выхлопа | Ожидаемая обратная связь |
|---|---|---|---|---|
| Безопасное, обесточенное | Оба выхода безопасности выключены | Питание перекрыто | Нижний по потоку контур соединён с выхлопом | Оба элемента сообщают безопасное состояние |
| Переход к питанию | Оба выхода включаются | Открывается только после переключения обоих элементов | Закрывается по мере переключения элементов | Оба сигнала меняются в разрешённом окне |
| Нормальное питание | Оба выхода включены | Питание соединено с контуром ниже по потоку | Выхлоп закрыт | Оба элемента сообщают состояние питания |
| Требование безопасности | Оба выхода выключаются | Питание закрывается | Контур ниже по потоку открывается на выхлоп | Оба сигнала возвращаются в безопасное состояние |
| Расхождение | Команды и обратная связь не совпадают | Безопасная реакция зависит от изделия | Реакция выхлопа зависит от изделия | Отказ объявляется, повторный запуск блокируется согласно спецификации |
«Нормально закрытый» относится к пути питания. При снятом электрическом питании пружины переводят элементы клапана в состояние, которое перекрывает вход воздуха и открывает контур ниже по потоку на выхлоп. Некоторые изделия добавляют функцию плавного запуска при повторном повышении давления, но её нужно использовать точно по описанию в документации по безопасности изделия.
Обесточивание клапана автоматически не переводит машину в безопасное состояние. Обратные клапаны, распределители с закрытым центром, аккумуляторы, камеры цилиндров, усилители и длинные коллекторы могут удерживать давление за выхлопным клапаном. После падения давления ниже по потоку механизм всё ещё может перемещаться под действием силы тяжести, пружин, инерции или вакуума. Если потеря давления может освободить вертикальную нагрузку, оцените работу стопорного устройства штока и пределы его применения.
Как внешний мониторинг обнаруживает отказ клапана?
ROSS RSe использует два PNP-датчика приближения и заявляет диагностическое покрытие 99%, когда оба датчика контролируются при каждом срабатывании и отключении в документированной архитектуре внешнего управления. Каждый датчик наблюдает за одним элементом клапана, а внешний контроллер безопасности сравнивает оба состояния обратной связи с заданным состоянием (ROSS Controls, доступ получен в 2026 году).
Внешний мониторинг отделяет пневматические силовые элементы от диагностической логики. Раздельные сигналы обратной связи описывают два элемента клапана. Внешнее реле безопасности или безопасный PLC подаёт обе команды, проверяет переходы обратной связи, применяет допустимое время расхождения, при необходимости обнаруживает короткие замыкания или перекрёстные цепи и определяет, разрешён ли повторный запуск.
Технология обратной связи зависит от изделия. В приведённом примере ROSS измеряет положение золотника, а в руководстве Parker по внешнему мониторингу P33 описаны твердотельные датчики давления, связанные с резервированными элементами. Ни один метод не является универсальным, и программу контроллера, написанную для одной таблицы истинности сигналов, нельзя переносить на другой клапан без изучения нового руководства по безопасности. Клапаны со встроенным мониторингом выполняют часть или всю логику сравнения и блокировки при отказе внутри сборки. Некоторые выдают объединённый сигнал состояния и требуют отдельного входа сброса. Внутренний мониторинг уменьшает объём логики сравнения, программируемой пользователем, но контроллер машины всё равно должен оценивать состояние, предотвращать неожиданный запуск и валидировать физическое безопасное состояние.
Сравнивайте две схемы следующим образом:
| Схема мониторинга | Что предоставляет клапан | Что должна предоставить внешняя система безопасности |
|---|---|---|
| Внешний мониторинг | Раздельная обратная связь элементов и правила времени для изделия | Безопасные выходы, сравнение каналов, контроль времени расхождения, фиксация отказа, логика сброса |
| Внутренний мониторинг | Внутреннее сравнение, реакция на отказ и заданные сигналы состояния | Корректный интерфейс команд, оценка состояния, управление сбросом, валидация на уровне машины |
Надёжная диагностика должна наблюдать именно заявленный опасный отказ. Датчик давления может подтвердить внутреннее состояние давления, но не доказать полный ход элемента клапана. Датчик положения может подтвердить ход золотника, но не доказать, что давление ниже по потоку прошло через клапан с закрытым центром. Засчитываемое диагностическое покрытие должно соответствовать тому виду отказа, который оно действительно обнаруживает.
Что меняется между категориями 3 и 4?
Сравнение категорий IFA даёт и категории 3, и категории 4 устойчивость к единичному отказу, но категория 4 дополнительно требует высокого среднего диагностического покрытия и учёта накопления отказов. Категория 3 допускает низкое или среднее диагностическое покрытие, поэтому некоторые отказы могут оставаться необнаруженными, а их накопление — лишать систему функции безопасности (IFA, 2017).
Поведение при отказах определяется архитектурой, а не числом, напечатанным на корпусе клапана:
| Требование | Категория 3 | Категория 4 |
|---|---|---|
| Резервированная архитектура | Требуется | Требуется |
| Один отказ вызывает немедленную потерю функции безопасности | Нет | Нет |
| Обнаружение отказов | Везде, где это практически обоснованно | При следующем требовании или до него, где это практически обоснованно |
| Диагностическое покрытие | Низкое или среднее | Высокое |
| Накопленные необнаруженные отказы | Могут привести к потере функции безопасности | Не должны приводить к потере функции безопасности |
| Достигнутый PL | Зависит от полной оценки | Зависит от полной оценки |
Две катушки не доказывают наличие двух независимых каналов. Проследите общий пилотный воздух, общие выхлопные каналы, общие разъёмы, программные выходы, источники питания, крепление, воздействие загрязнений и ошибки обслуживания. Резервирование может быть устранено, если оба элемента имеют общую причину отказа, которую конструкция не контролирует. Сама категория также не устанавливает PL d или PL e. Используйте заявленные данные о надёжности и ограничения для конкретного клапана, датчика, контроллера и интерфейсов. Затем документируйте диагностическое покрытие, меры против отказов по общей причине, систематические меры, время эксплуатации, частоту переключений и среднюю частоту опасного отказа для всей функции безопасности.
Частые проверки сигналов сами по себе не делают заявление о категории 4 сильнее. Диагностика должна своевременно обнаруживать соответствующие опасные отказы, а накопленные необнаруженные отказы не должны лишать систему безопасного выхлопа или предотвращения неожиданного повышения давления.
Что может доказать обратная связь клапана и что она может пропустить?
ROSS указывает, что клапан RSe не может стравить пневматическую энергию, запертую ниже по потоку за такими препятствиями, как обратные клапаны и клапаны с закрытым центром. Это ограничение изделия показывает, почему обратная связь элементов клапана не может доказать состояние давления, движения или нагрузки во всей машине (ROSS Controls, доступ получен в 2026 году).
Обратная связь может подтверждать конкретные утверждения:
- Один или оба элемента клапана достигли положения, наблюдаемого установленным датчиком, в пределах документированного окна перехода, и контроллер получил этот сигнал без ошибки входа.
- Внутреннее давление в заданной точке измерения пересекло порог изделия.
- Два канала изменили состояние в разрешённом временном окне.
- Обратная связь зафиксирована, отсутствует, противоречива или не соответствует команде.
- Клапан перешёл в состояние отказа или блокировки, определённое изделием.
Обратная связь автоматически не доказывает:
- Что каждая ветвь ниже по потоку разгерметизирована, включая изолированные полости за обратными клапанами, клапанами с закрытым центром и регуляторами, до порога давления и за время, заданные требованием безопасности машины.
- Что глушитель или выхлопная трубка пропускает требуемый расход.
- Что тормозной путь цилиндра соответствует пределу приёмки на уровне машины.
- Что вертикальная нагрузка остаётся поддержанной после удаления воздуха.
- Что обратный клапан, регулятор, усилитель или полость коллектора сбросили запертое давление.
- Что закрытие ограждения и восстановление подачи воздуха не может запустить опасное движение.
Добавляйте измерение давления в объёме, относящемся к опасности, если спад давления входит в критерий приёмки. Добавляйте измерение движения или положения на опасном механизме, если машина должна остановиться или оставаться в заданном положении. Состояние клапана — один из входов в эту валидацию, а не её замена. Для поворотных систем действует та же граница, как объясняется в руководстве по интеграции поворотных приводов в цепи безопасности ISO 13849. Безопасный выхлоп также отличается от обычной функции быстрого выхлопа. Стандартные клапаны быстрого выхлопа сокращают путь выхлопа привода, но обычно не имеют резервированной архитектуры, данных по безопасности, диагностической обратной связи или контролируемой реакции на отказ. О функции потока без отнесения её к компонентам безопасности см. руководство по клапанам быстрого выхлопа.
Реакция на отказ и логика сброса
В примере внешнего мониторинга Parker требует, чтобы выходы двух датчиков P33 изменялись с разницей не более 150 ms, и не рекомендует автоматический сброс. Если сигналы расходятся дольше разрешённого времени, логика мониторинга должна снять питание с соленоидов и предотвратить следующую попытку срабатывания до выполнения сброса системы безопасности (Parker, доступ получен в 2026 году).
Используйте точные значения времени и таблицу истинности выбранного изделия. Время зависит от конкретного изделия: значение Parker 150 ms не является универсальным пределом категории 3 или 4. В других клапанах могут применяться другие датчики, последовательности переключения, ограничения импульсных тестов, схемы сброса и условия восстановления после отказа.
Логика контроллера обычно следует таким решениям:
- Снимите обе команды с клапана при требовании функции безопасности.
- Подтвердите, что оба канала обратной связи вовремя достигли документированных безопасных состояний.
- Объявите отказ, если любой сигнал отсутствует, запаздывает, противоречив или зафиксирован.
- Оставляйте команды клапана выключенными после обнаруженного расхождения.
- Требуйте выполнения заданных условий устранения отказа и преднамеренного сброса.
- Убедитесь, что сброс не запускает опасное движение и автоматически не повышает давление в небезопасной зоне.
| Пример отказа | Что видит мониторинг | Требуемая инженерная реакция |
|---|---|---|
| Одна катушка теряет питание | Один канал не переключается | Снять обе команды и блокировать повторный запуск |
| Один элемент переключается медленно | Расхождение обратной связи превышает предел изделия | Перейти в документированное состояние отказа и исследовать загрязнение, давление или аппаратуру |
| Один сигнал обратной связи зафиксирован | Сигнал противоречит команде при одном переходе | Считать канал отказавшим и предотвратить следующий опасный цикл |
| Путь выхлопа ограничен | Обратная связь клапана может выглядеть нормальной, пока давление падает слишком медленно | Обнаруживать по давлению или движению машины, а не только по обратной связи клапана |
| После отключения воздух возвращается | Обратная связь может вернуться в исходное состояние | Предотвращать автоматическое опасное движение логикой сброса и запуска |
Сброс — это разрешение возобновить оценку, а не доказательство исчезновения отказа. Перед разрешением следующего цикла программа должна проверить безопасные входы, корректную обратную связь, допустимое состояние давления и требуемое ручное действие. Кнопка сброса не должна одновременно служить командой запуска машины, если это создаёт опасное движение.
Как валидировать установленную функцию безопасности?
ISO 13849-2:2012 — действующий опубликованный стандарт валидации объёмом 79 страниц по состоянию на июль 2026 года, хотя ISO указывает на разрабатываемый проект замены. Он требует валидировать заданные функции безопасности, достигнутую категорию и достигнутый уровень эффективности анализом и испытаниями, поэтому одного паспорта клапана недостаточно для завершения валидации (ISO, доступ получен в 2026 году).
До ввода в эксплуатацию сформулируйте измеримые критерии приёмки. По одной временной шкале записывайте требование безопасности, выходы контроллера, оба канала обратной связи клапана, давление ниже по потоку и опасное движение. Испытайте наихудшие правдоподобные давление питания, объём ниже по потоку, температуру, разрешённые выхлопные принадлежности, нагрузку машины и рабочий режим.
Валидация должна охватывать как минимум:
- нормальное включение, безопасный выхлоп, преднамеренный сброс и подтверждение, что один сброс не запускает опасное движение во всех рабочих режимах, когда человек может приблизиться к опасности;
- предотвращение переключения одного выходного канала клапана;
- каждый канал обратной связи в состояниях «включён», «выключен», обрыв, короткое замыкание или перекрёстное соединение, если это применимо к интерфейсу изделия;
- переходы обратной связи за пределами разрешённого окна расхождения;
- потерю и восстановление электрического и пневматического питания;
- ограниченный выхлоп, если такой сценарий предсказуем и безопасен для испытания;
- давление, запертое за обратными клапанами или распределительными клапанами с закрытым центром;
- наихудшие положение цилиндра или механизма и нагрузку;
- предотвращение неожиданного повторного запуска после требования безопасности, отказа и восстановления питания.
Не придумывайте один универсальный интервал осмотра или проверки срабатывания. Например, Festo устанавливает обязательное принудительное переключение не реже одного раза в месяц для отдельных вариантов MS6-SV, если процесс и без того не переключает их с такой частотой (Festo, 2023). Это требование относится к перечисленным вариантам, а не ко всем контролируемым клапанам. Храните под управлением конфигурации модель и редакцию клапана, руководство по безопасности, заявленные данные безопасности, контрольную сумму программы контроллера безопасности, пневматическую схему, чертёж проводки, значения параметров, пороги датчиков, глушители, испытательное оборудование, исходные трассы и запись об утверждении. Замена клапана или изменение пути выхлопа может потребовать нового расчёта и повторной валидации.
ISO 4414:2010 остаётся действующим общим стандартом безопасности пневматических систем после подтверждения в 2021 году и охватывает проектирование, изготовление, изменение, установку, эксплуатацию и обслуживание (ISO, доступ получен в 2026 году). Эта область применения подчёркивает системную границу: безопасная установка клапана должна учитывать опасности во всём пневматическом контуре.
Частые вопросы о контролируемых пневматических предохранительных клапанах
Parker документирует внутренне и внешне контролируемые варианты одного семейства клапанов P33, показывая, почему термин «контролируемый клапан» не определяет одну универсальную схему. Ниже уточняются граница компонента, заявление о категории, роль обратной связи, поведение при отказе и пределы обслуживания, которые покупателю следует выяснить до выбора или модернизации клапана (Parker, 2024).
Является ли категория 3 или 4 рейтингом клапана?
Сама по себе нет. Производитель может заявить, что клапан или подсистема пригодны для архитектуры категории 3 или 4 при заданных условиях. Достигнутые категория и PL относятся ко всей функции безопасности после оценки и валидации клапана, диагностики, контроллера, интерфейсов, допущений об отказах и реакции машины.
Что произойдёт, если один элемент клапана не переключится?
Подходящая резервированная конструкция рассчитана на сохранение функции безопасности после одного отказа. Обратная связь должна выявить расхождение, система мониторинга — снять обе команды, а повторный запуск должен быть заблокирован согласно руководству по безопасности. Точная пневматическая реакция, временное окно, состояния сигналов и последовательность сброса зависят от изделия.
Доказывает ли обратная связь клапана, что давление ниже по потоку безопасно?
Нет. Она доказывает только состояние, измеренное данным методом обратной связи в его точке измерения. Давление может оставаться запертым за обратным клапаном, клапаном с закрытым центром, регулятором или изолированной полостью. Валидируйте давление в соответствующем объёме ниже по потоку и измеряйте опасное движение, если требование безопасности включает останов или удержание нагрузки.
Заменяет ли контролируемый предохранительный выхлопной клапан процедуру блокировки и маркировки?
Нет. OSHA 1910.147 охватывает обслуживание, при котором неожиданное включение, запуск или высвобождение накопленной энергии может привести к травме. Стандарт требует процедур контроля опасной энергии и устройств изоляции энергии; кнопки и устройства цепей управления не являются устройствами изоляции энергии (OSHA, доступ получен в 2026 году).
Что должны помнить инженеры?
ISO 13849-1:2023 охватывает пять технологических областей, названных в его области применения: электрические, гидравлические, пневматические, механические и программные системы управления, связанные с безопасностью. Это последнее подтверждение того, что характеристики категории 3/4 нельзя свести к одному контролируемому пневматическому клапану или одному контакту обратной связи (ISO, 2023).
Рассматривайте клапан как определённую подсистему. Подтвердите два его рабочих состояния, функцию безопасности, метод мониторинга, временные пределы, реакцию на отказ, требования к сбросу, данные о надёжности, разрешённые принадлежности и диагностические допущения. Затем проверьте, что вся машина достигает заданного состояния давления и движения при обычных требованиях и правдоподобных отказах. Самый безопасный вопрос при закупке звучит не так: «Есть ли у этого клапана категория 4?» Лучше спросить: «Какую функцию безопасности и какие виды отказа поддерживает этот конкретный клапан, при каких условиях интеграции и какие подтверждения мы должны валидировать на установленной машине?»