Резервированные клапанные системы: руководство по цепям безопасности ISO 13849-1

Резервированная пневматическая клапанная система — это выходная подсистема, предназначенная для сохранения заданной реакции безопасности после единичного отказа. Она не делает машину автоматически соответствующей PL d или PL e. Достигнутый уровень эффективности зависит от совокупности оценки риска, входных устройств, логики безопасности, архитектуры клапанов, диагностики, пневматической схемы и физической реакции машины.

Эта статья посвящена выходной подсистеме клапанов: тому, как расположены два клапанных элемента, что должна подтверждать их обратная связь, как отказы влияют на пути подачи и выхлопа и какие проверки нужно выполнить на установленной машине. Полный процесс от входа через логику к выходу описан в более общем руководстве по пневматическим цепям безопасности ISO 13849.

Важные выводы

• ISO 13849-1 определяет пять уровней эффективности PL, но одно только резервирование не устанавливает ни один из них.
• Двойной клапан 3/2 может обеспечить безопасный выхлоп, а контролируемая конструкция 5/2 — заданный безопасный возврат.
• Обратная связь должна обнаруживать опасные отказы клапана, а не просто подтверждать напряжение на катушке.
• Проверяйте давление, движение, сброс и поведение при повторном запуске на установленной машине.

Что именно защищает резервированная клапанная система?

ISO 13849-1:2023 определяет пять уровней эффективности от PL a до PL e, но не назначает конкретной пневматической системе ни функцию безопасности, ни требуемый PLr (ISO, 2023). Резервированная клапанная система защищает только ту функцию безопасности машины, которую конструктор определил явно.

Эта функция может предотвращать неожиданную подачу давления при открытом ограждении, стравливать одну опасную зону, переводить привод в контролируемое положение возврата, удерживать давление до срабатывания тормоза или выбирать пониженное давление наладки. Для каждой функции нужны триггер, безопасное состояние, PLr, архитектура, поведение диагностики и измеримые критерии приемки.

Слово «резервированный» описывает структуру, а не результат. Два клапанных элемента могут дать два выходных пути, но система всё равно откажет, если загрязнённая подача воздуха заклинит оба элемента, общий разъём отключит обе катушки, забитый глушитель не даст выполнить выхлоп или контроллер проигнорирует расхождение обратной связи.

Начните с четырёх вопросов:

1. Какое опасное движение или давление должна контролировать функция?
2. Какое физическое состояние безопасно при наиболее неблагоприятной достоверной нагрузке и положении привода?
3. Какие единичные отказы должна выдержать или обнаружить клапанная подсистема?
4. Какие доказательства подтвердят, что установленная машина достигает этого состояния и удерживает его?

По нашему опыту проверки спецификаций пневматической безопасности наиболее частая проблема формулировки — представление обозначения компонента как функции безопасности. Замените «использовать резервированный клапан» измеримым требованием, например: «не допустить давления выше заданного порога на порту выдвижения после любого учтённого единичного отказа выходного канала».

ISO 4414:2010, подтверждённый как действующий в 2021 году, рассматривает существенные опасности пневматических систем при проектировании, установке, эксплуатации и обслуживании. Он подчёркивает главное правило: клапан нельзя оценивать отдельно от накопленного давления, силы тяжести, пружин, вакуума, трубопроводов, приводов и процедуры обслуживания.

Второй клапанный элемент полезен только тогда, когда пневматические пути, диагностика и реакция на отказ остаются достаточно независимыми для сохранения заданной функции безопасности.

Три архитектуры резервированных клапанных систем

Семейство P33 компании Parker использует нормально закрытую функцию безопасного выхлопа 3/2 и предлагает варианты с внутренним или внешним контролем, а ROSS документирует резервированные двойные клапаны 3/2 и 5/2 (Parker, 2024; ROSS, доступ к материалу в 2026 г.). Эти примеры показывают три практических семейства архитектур для современных цепей безопасности машин.

Двойной клапан со встроенным контролем

Два клапанных элемента и логика контроля интегрированы в одну сборку. Изделие внутренне проверяет синхронность или состояние элементов и после заданного расхождения блокирует нормальную работу. Конструктор системы всё равно должен соблюдать требования руководства по безопасности к сбросу, проводке, пневматическим соединениям, минимальной частоте циклов, глушителю и реакции на отказ.

Двойной клапан с внешним контролем

Каждый клапанный элемент передаёт обратную связь о положении или состоянии давления на реле безопасности или в безопасный ПЛК. Внешняя логика сравнивает заданное состояние с обоими каналами обратной связи при включении и выключении. Например, для серии RSe компания ROSS указывает внешний контроль двух PNP-датчиков положения золотника. Нельзя обобщать такую конфигурацию на клапан с другими датчиками или иной внутренней геометрией.

Два отдельных клапанных канала

Отдельные клапаны можно спроектировать как резервированную выходную подсистему, если их пневматическое соединение, электрическое управление, диагностика, данные надёжности и меры против общих причин отказа соответствуют требуемой архитектуре. Простая установка двух обычных распределительных клапанов последовательно или параллельно не доказывает отказоустойчивость. На схеме должно быть показано, что произойдёт, если один элемент заклинит, протечёт, начнёт двигаться медленно или потеряет команду.

Архитектура	Место контроля	Главный инженерный вопрос
интегрированный двойной клапан	внутри сертифицированной сборки	Какие внешние условия и логика сброса должны быть обеспечены?
двойной клапан с внешним контролем	реле безопасности или безопасный ПЛК	Проверяет ли логика оба фактических положения клапана при каждом требуемом переходе?
два отдельных канала	система управления безопасностью машины	Сохраняет ли полная пневматическая схема безопасное состояние после любого единичного отказа?

Как категории 3 и 4 меняют поведение при отказе?

Отчёт IFA по применению ISO 13849 различает категории 3 и 4 по MTTFd, DCavg и устойчивости к накоплению отказов, а не просто по видимому наличию двух каналов (IFA Report 2/2017e, 2019). Обе заданные архитектуры требуют подходящих мер против общих причин отказа в пневматических системах безопасности.

В категории 3 единичный отказ не должен привести к потере функции безопасности. Некоторые отказы обнаруживаются, но накопление необнаруженных опасных отказов в конечном счёте может вывести функцию из строя. Поэтому схема с двумя каналами может быть недостаточной, если диагностика пропускает опасно заклинивший клапан или оба канала имеют общую неуправляемую причину отказа.

Категория 4 также требует устойчивости к единичному отказу, но с более сильным обнаружением отказов или большей устойчивостью к их накоплению. IFA указывает высокие значения MTTFd и DCavg для заданной архитектуры категории 4. Поэтому изделие с заявленной возможностью категории 4 обычно имеет явно указанные условия контроля, данные надёжности и требования к реакции на отказ.

Вопрос проектирования	Ориентация на категорию 3	Ориентация на категорию 4
Последствие одного отказа	Функция безопасности сохраняется	Функция безопасности сохраняется
Обнаружение отказа	Некоторые опасные отказы могут оставаться необнаруженными	Опасные отказы обнаруживаются вовремя либо их накопление контролируется
MTTFd и DCavg	Допустимые сочетания зависят от проекта	Высокие значения связаны с заданной архитектурой
Общие причины отказа	Требуются меры	Требуются меры
Достигнутый PL	Рассчитывается по всем относящимся параметрам	Рассчитывается по всем относящимся параметрам

Не пишите в спецификации «категория 3 соответствует PL d» или «категория 4 соответствует PL e». Категория — один из входных параметров оценки PL. Надёжность компонентов, эффективность диагностики, CCF, систематические меры, программное обеспечение, интерфейсы и остальные подсистемы функции безопасности по-прежнему важны.

Проверка CCF должна выходить за рамки раздельного монтажа клапанов. На оба канала могут повлиять загрязнённый воздух, замёрзший конденсат, чрезмерная температура, вибрация, общая неисправность регулятора, неправильные запасные части, общий дефект проводки или одна и та же ошибка обслуживания. Документированные меры должны охватывать фактическую установку.

Что должна обнаруживать обратная связь клапана?

ROSS поясняет, что контроль обоих датчиков положения золотника RSe при каждом включении и выключении может обеспечить для этого изделия диагностическое покрытие до 99 %, если внешний контроллер безопасности выполняет предписанные проверки (ROSS RSe, доступ к материалу в 2026 г.). Значение относится к конкретной модели и не может приписываться общей системе обратной связи.

Диагностическое покрытие — это эффективность реализованной диагностики при обнаружении опасных отказов. Напряжение катушки подтверждает только то, что контроллер выдал команду. Оно не подтверждает, что соленоид создал усилие, пилотная ступень переключилась, золотник или клапанный конус переместился, путь выхлопа открылся или давление после клапана снизилось. Полезная диагностика должна быть направлена на опасные виды отказов, установленные для точного клапана и точной схемы.

Обычно применяют следующие методы обратной связи:

• контроль положения клапана с принудительным приводом или бесконтактным датчиком;
• независимая обратная связь от обоих резервированных клапанных элементов;
• проверка правдоподобия давления после клапана в опасной зоне;
• контроль времени расхождения каналов при включении и выключении;
• сравнение состояния клапана с положением привода или состоянием защищённой машины;
• реакция контроллера, блокирующая следующий опасный цикл после отказа.

Обратная связь по давлению имеет ограничения. Датчик перед безопасным клапаном не покажет, стравлена ли камера после него. Датчик после распределителя может не заметить давление, запертое за обратным клапаном. Порог давления подтверждает пневматическое состояние, но не обязательно доказывает, что вертикальная ось остановилась или зажим удерживает нагрузку.

Обратная связь по положению тоже ограничена. Датчик золотника может подтвердить положение клапанного элемента, но не достаточный поток выхлопа через забитый глушитель. Поэтому в концепции диагностики каждый учтённый сигнал нужно связывать с определённым опасным отказом и реакцией на него.

При работе с запросами на замену мы видели, что формулировка «обратная связь включена» слишком неточна для безопасной замены. В запросе следует указать нормальное состояние сигнала и состояние при отказе, время расхождения, реакцию контроллера, распиновку разъёма и то, сообщает ли датчик фактическое положение клапана или только электрическую команду.

Рассматривайте диагностику как цепочку доказательств: команда, положение клапана, давление после клапана и опасное движение отвечают на разные вопросы, и ни один сигнал автоматически не подтверждает все четыре.

Безопасный выхлоп, безопасный возврат и удержание давления

Parker называет P33 клапаном безопасного выхлопа 3/2 в нормально закрытом исполнении, а ROSS документирует схемы 5/2 RSe для безопасного возврата и функций выбора одного из двух давлений (Parker P33, 2024; ROSS RSe, доступ к материалу в 2026 г.). Число портов определяется предусмотренной и безопасной с учётом опасности реакцией машины для каждой заданной опасности.

Безопасный выхлоп — это функция, которая перекрывает подачу и стравливает определённую зону после клапана. Она подходит только тогда, когда снижение давления приводит к безопасному физическому состоянию. Большие объёмы после клапана, длинные трубки, регуляторы расхода, обратные клапаны, распределители с закрытым средним положением и глушители выхлопа могут замедлить или предотвратить ожидаемый сброс давления.

Безопасный возврат направляет привод в заданное положение, а не просто освобождает обе камеры. Само возвратное движение должно быть безопасным по скорости, усилию, направлению и конечному положению. Резервированный клапан 5/2 может поддержать такую функцию, но нагрузку привода, демпфирование, регуляторы расхода и механический ход всё равно нужно проверить.

Удержание давления может быть безопаснее, если выхлоп опустит вертикальную нагрузку, освободит зажим или отпустит удерживаемую вакуумом деталь. Для удержания могут потребоваться замок штока, тормоз, механическая опора, управляемый обратный клапан или другая проверенная мера. Но удержание может также запереть опасную энергию, поэтому производственную функцию безопасности и процедуру изоляции при обслуживании нужно рассматривать отдельно.

Для поворотного стола или поворотного зажима определяйте угловой упор, удерживающий момент и состояние без давления по отдельному руководству по интеграции поворотных приводов по ISO 13849.

Предусмотренная функция	Пневматическая реакция	Главный аспект проверки
безопасный выхлоп	перекрыть подачу и снизить давление после клапана	время сброса давления и остаточное движение
предотвращение неожиданной подачи давления	сохранить изоляцию опасной зоны	утечки, повторный запуск и поведение при единичном отказе
безопасный возврат	перевести привод в заданное положение	скорость и усилие возврата, точка остановки и поведение нагрузки
безопасный выбор давления	разрешить только предусмотренный уровень давления	отказ из-за неправильного давления и контролируемое состояние клапана
удержание нагрузки	удерживать нагрузку или закрепить её механически	дрейф, запертая энергия, освобождение и доступ для обслуживания

В руководстве по безопасным выхлопным клапанам в ограждениях машин рассмотрены размещение и проверка сброса давления. Для вертикальных осей дополнительно проверяйте работу замков штока цилиндра и выбор цилиндров для вертикального подъёма.

Обычный клапан быстрого выхлопа может сократить путь выхлопа привода, но автоматически не содержит ни резервированной архитектуры, ни диагностики. Аналогично, управляемый обратный клапан может удерживать давление и одновременно создавать отдельную опасность из-за запертой энергии.

Как моделировать клапанную подсистему в SISTEMA?

Инструмент SISTEMA от IFA оценивает достигнутый PL по заданной архитектуре вместе с входными данными PLr, категорией, MTTFd, DCavg и CCF (IFA, доступ к материалу в 2026 г.). Резервированный клапан входит в выходную подсистему и не заменяет полную модель функции безопасности.

Сначала создайте функцию безопасности, затем разделите её на входную, логическую и выходную подсистемы. Выходная подсистема клапана должна соответствовать реальной схеме и реальному контролю. Если встроенный двойной клапан имеет сертифицированное значение для подсистемы и библиотеку SISTEMA, используйте точные данные производителя только в указанных рабочих условиях и условиях интеграции.

При проектировании из отдельных клапанных элементов соберите для оценки каждого канала и каждой меры диагностики следующие сведения:

• точный артикул клапана и функция безопасности;
• B10d, MTTFd, PFHd или сертифицированные данные подсистемы для этой модели;
• годовое число срабатываний и профиль требований функции безопасности;
• срок службы и пределы обслуживания;
• допустимые давление, температура, качество воздуха, частота переключений и выхлопные принадлежности;
• обнаруживаемые опасные отказы и учтённое диагностическое покрытие;
• меры CCF для многоканальной конструкции;
• временные параметры управления, тестовые импульсы, пределы расхождения и реакция на сброс.

Не копируйте значение B10d из похожего семейства клапанов. Другое уплотнение, золотник, пилотная ступень, датчик, рабочее давление или частота проверки могут сделать принятые данные надёжности недействительными. Не приписывайте также DC 99 % только потому, что в схеме два датчика: логика диагностики должна выполнять проверки, заданные производителем.

SISTEMA проверяет смоделированную архитектуру управления. Она не обнаруживает перепутанные трубки, заблокированный выхлоп, неучтённый обратный клапан, неправильное расположение датчика, опасность силы тяжести или программное обеспечение, отличающееся от документированной редакции. Эти вопросы относятся к проверке конструкции и валидации.

Для полного расчётного процесса, включая перевод B10d в MTTFd, используйте полное руководство по пневматическим цепям ISO 13849. Общий онлайн-калькулятор не заменяет SISTEMA или документированную оценку безопасности.

Проверки выходной ступени резервированных клапанов

ISO 13849-2:2012 требует подтверждать заданные функции безопасности, достигнутую категорию и достигнутый PL анализом и испытаниями (ISO, 2012). По состоянию на июль 2026 года эта редакция всё ещё опубликована, а её замена находится в разработке. Поэтому для установленной клапанной подсистемы нужны прослеживаемые результаты испытаний, а не только проверка каталога.

До испытаний зафиксируйте критерии приёмки. Определите сигнал требования, безопасный предел давления, допустимое движение, временной предел, нагрузку привода, диапазон подачи, поведение сброса и условия повторного запуска. Затем проверьте нормальную работу и достоверные отказы при конфигурациях машины, создающих наиболее сложную реакцию.

Испытание	Что документировать	Какой небезопасный результат обнаружить
Запросить функцию безопасности	Вход, выход логики, обе обратные связи клапана, давление и движение на одной временной шкале	запаздывающая или неполная безопасная реакция
Не допустить перемещения элемента A	Состояние элемента B, путь давления, сигнал диагностики и блокировка повторного запуска	единичный отказ выводит функцию из строя
Не допустить перемещения элемента B	Те же данные при смене каналов	асимметричный отказ не охвачен
Зафиксировать один сигнал обратной связи во включённом или выключенном состоянии	Реакция контроллера на расхождение и поведение сброса	отказ датчика принят как допустимое состояние
Ограничить разрешённый путь выхлопа до достоверного предела	Давление после клапана и опасное движение	заблокированный или ухудшенный выхлоп нарушает временные требования
Проверить восстановление подачи и электропитания	Состояние клапана, поведение плавного запуска и движение машины	опасный автоматический повторный запуск
Проверить наиболее неблагоприятное положение привода и нагрузку	Давление, ход, точка остановки и удержание	безопасное состояние действительно только при малой нагрузке

Измеряйте давление в относящемся к функции объёме. Манометр рядом с клапаном может показывать низкое давление, пока камера цилиндра за обратным клапаном остаётся запертой. Если опасность связана с движением, измеряйте вместе с давлением фактическое положение или скорость оси.

Сброс требует отдельной проверки. Сброс может снять безопасное состояние, но не должен сам запускать опасное движение. После обнаруженного расхождения каналов система должна оставаться заблокированной, пока не будут выполнены документированные условия подтверждения отказа и сброса.

Не существует универсального ежедневного, ежемесячного или ежегодного интервала проверки, основанного только на PL. Интервалы проверки и функциональных испытаний должны учитывать инструкции изделия, оценку риска, концепцию диагностики, частоту использования, среду, историю обслуживания и все применимые нормы для конкретной машины.

Какие доказательства должен предоставить поставщик?

ROSS публикует для документированной конфигурации модели RSe значение B10d 20 миллионов циклов, PFHd 7,71 x 10^-9 в час и максимальное время расхождения 250 мс (документация ROSS RSe, доступ к материалу в 2026 г.). Эти значения показывают глубину спецификации, необходимую инженеру; они не являются общими значениями для резервированных клапанов.

Запрашивайте доказательства для точно заказанной конфигурации, включая напряжение катушки, типоразмер, датчики, разъёмы, пилотную схему и вариант сброса. Брошюра семейства может включать несколько версий с разными условиями сертификации или интеграции.

По нашему опыту наиболее полезный ответ поставщика начинается с точного артикула, области действия сертификата, редакции руководства по безопасности и таблицы истинности обратной связи. Расход и размер порта важны, но не заменяют отсутствующие данные о реакции на отказ или контроле.

Технический пакет должен включать:

• заданную функцию безопасности и применимые нормы;
• сертификат или оценку точной модели;
• возможности по категории и PL с указанными условиями интеграции;
• B10d, MTTFd, PFHd, срок службы и принятую частоту срабатываний, если применимо;
• пневматический символ и описание внутренней функции;
• метод контроля, логику сигналов и время расхождения;
• допустимые условия интерфейса для реле безопасности или безопасного ПЛК;
• требования к проводке, трубкам, сбросу, тестовым импульсам и реакции на отказ;
• ограничения по давлению, температуре, качеству воздуха, монтажу и цикличности;
• одобренные глушители выхлопа и схемы плавного запуска;
• актуальное руководство по безопасности, декларацию, библиотеку SISTEMA и историю редакций.

Отклоняйте формулировки вроде «двухканальный», «отказобезопасный» или «готов к PL e», если они не связаны с такими записями. Производитель машины также должен перенести условия интеграции в электрическую схему, пневматическую схему, программное обеспечение, спецификацию, отчёт о вводе в эксплуатацию и процедуру замены.

При замене сначала сравнивайте функции и только потом размеры. Два клапана с подходящими портами и одинаковым напряжением могут отличаться внутренним контролем, логикой датчиков, поведением сброса, пропускной способностью выхлопа, блокировкой отказа, сертификацией или минимальной рабочей частотой. Замена с совпадающими формой и посадочными размерами может сделать расчёт безопасности недействительным и потребовать повторной валидации.

При запросе на замену компонента, важного для безопасности, руководство по интеграции и таблица истинности обратной связи так же важны, как размер порта и пропускная способность.

FAQ по резервированным клапанным системам: что должны проверить инженеры?

ISO 13849-1:2023 использует пять диапазонов PL, но каждый следующий вопрос возвращает к одному правилу: обозначения архитектуры и сертификаты компонентов не заменяют ни определённую функцию безопасности, ни полную оценку PL и валидацию на установленной машине (ISO, 2023). Проверяйте клапан как выходную подсистему внутри этой цепочки.

Автоматически ли два клапана создают категорию 3?

Нет. Категория 3 требует, чтобы функция безопасности выдерживала единичный отказ, а также выполнялись применимые требования к надёжности, диагностике, общим причинам отказа и систематическим мерам. Два обычных клапана могут иметь общий опасный путь отказа или не иметь эффективного контроля. Реальные пневматические соединения и реакцию на отказ нужно анализировать.

Может ли клапан категории 4 с PL e сделать всю машину соответствующей PL e?

Нет. При заданных условиях клапан может предоставить сертифицированную или оценённую выходную подсистему. Входные устройства, логика безопасности, проводка, диагностика, другие выходы, программное обеспечение, интерфейсы и физическая реакция машины тоже должны выполнять требования функции безопасности. Установленная функция всё равно нуждается в проверке и валидации.

Должна ли резервированная клапанная система всегда стравливать весь воздух машины?

Нет. Безопасное состояние и опасную зону определяет оценка риска. Полный выхлоп может опустить вертикальный груз, освободить зажим или привести к падению детали, удерживаемой вакуумом. Некоторым машинам вместо общего стравливания всей системы нужны зональный выхлоп, контролируемый безопасный возврат, удержание давления или механическая фиксация.

Достаточно ли обратной связи по давлению после клапана для контроля обоих элементов?

Не всегда. Обратная связь по давлению может подтвердить, что объём пересёк порог, но не показать, какой клапанный элемент отказал, и не обязательно подтвердить его положение. Утверждения о категории и DC должны опираться на анализ отказов и инструкции по контролю конкретного изделия. В некоторых конструкциях нужен отдельный датчик положения каждого элемента.

Как часто нужно проверять функцию безопасности резервированного клапана?

Нет универсального интервала, основанного только на PL d или PL e. Используйте руководство по безопасности клапана, проект диагностики, оценку риска, частоту работы, загрязнение, историю обслуживания и применимую норму машины. Принятую частоту проверки или работы включайте в оценку надёжности и план валидации.

Источники и технические справочные материалы

Это руководство опирается на 11 первичных источников, просмотренных 22 июля 2026 года: пять ссылок на ISO или IFA и шесть документов производителей. Значения для изделий относятся к точной модели и условиям интеграции, а источники ISO определяют утверждения об архитектуре и валидации на уровне системы. Отзывы клиентов, заявления о рыночной цене и общие проценты экономии не используются.

• Международная организация по стандартизации. ISO 12100:2010, безопасность машин, оценка и снижение риска. Подтверждён как действующий в 2022 году. Доступ: 2026-07-22.
• Международная организация по стандартизации. ISO 13849-1:2023, части систем управления, связанные с безопасностью, часть 1. Доступ: 2026-07-22.
• Международная организация по стандартизации. ISO 13849-2:2012, валидация. Доступ: 2026-07-22.
• Международная организация по стандартизации. ISO/DIS 13849-2, проект редакции, находящейся в разработке. Доступ: 2026-07-22.
• Международная организация по стандартизации. ISO 4414:2010, общие правила и требования безопасности для пневматических систем и их компонентов. Подтверждён как действующий в 2021 году. Доступ: 2026-07-22.
• Институт охраны труда Немецкого обязательного страхования от несчастных случаев. Программа SISTEMA для ISO 13849-1. Доступ: 2026-07-22.
• Институт охраны труда Немецкого обязательного страхования от несчастных случаев. Отчёт IFA 2/2017e, функциональная безопасность систем управления машин. Доступ: 2026-07-22.
• Parker Hannifin. Технический каталог клапана безопасного выхлопа P33. Ноябрь 2024 г. Доступ: 2026-07-22.
• Parker Hannifin. Руководство по интеграции клапана безопасного выхлопа P33. Доступ: 2026-07-22.
• ROSS Controls. Серия 1286, узел безопасной подачи воздуха с внутренне контролируемым двойным клапаном DMC. Доступ: 2026-07-22.
• ROSS Controls. Внешне контролируемый резервированный двойной клапан RSe. Доступ: 2026-07-22.