Контур безопасности с двуручным управлением готов к эксплуатации только после того, как установленная машина пройдет предусмотренные испытания состояний, времени срабатывания, повторного запуска и реакции на отказы. Нажатие двух кнопок в обычном цикле доказывает очень мало. При вводе в эксплуатацию нужно показать, что происходит, если один вход сработал раньше или позже, остается нажатым, пропал или неисправен, а также если пневматический выход не реагирует на команду.
Эта статья посвящена вводу в эксплуатацию и имитации отказов. Сведения о типах устройств, ограничениях защиты, различии между двуручным управлением и двуручным пуском, а также принципах безопасного расстояния приведены в обзоре пневматического двуручного управления. Для проектирования Performance Level используйте отдельное руководство по пневматическим контурам безопасности по ISO 13849.
Ключевые выводы
- ISO 13851 определяет три типа THCD, но защищает только человека, который пользуется устройством.
- Проверяйте каждое разрешенное состояние и каждый запрещенный путь повторного запуска.
- Измеряйте выход установленной системы, давление и опасное движение, а не только состояние реле.
- Имитируйте отказы по контролируемому плану валидации и никогда не подвергайте человека опасности.
Что необходимо зафиксировать до начала ввода в эксплуатацию?
ISO 13851:2019 определяет три функциональных типа THCD, но не выбирает конкретный тип для каждой машины. Поэтому ввод в эксплуатацию должен начинаться с утвержденной спецификации функции безопасности, в которой указаны выбранный тип, подвергающийся опасности человек, опасность, безопасное состояние, требуемый Performance Level, временная характеристика и приемочные пределы для конкретной машины (ISO 13851, подтверждено в 2024 году).
Не начинайте с настройки времени нажатия кнопок или расхода клапана. Сначала зафиксируйте документы, определяющие требуемое поведение системы. Пусконаладочная команда не сможет обосновать результат «годно», если требуемое поведение меняется во время испытания.
Минимальный комплект исходных данных должен содержать:
- действующую оценку риска и применимый стандарт типа C для машины;
- спецификацию функции безопасности и требуемый Performance Level, или PLr;
- выбранный тип THCD и точное руководство по устройству;
- электрические и пневматические схемы с номерами редакций;
- программу контроллера безопасности и контрольную сумму;
- руководство по безопасности выходного клапана, способ обратной связи и разрешенные принадлежности;
- ожидаемую реакцию на отпускание любой руки, сброс, потерю питания и потерю воздуха;
- измеренные или заданные пределы остановки и закрытия в опасной зоне;
- перечень отказов, метод испытания, приемочные критерии и способ восстановления;
- имена и роли валидатора, свидетеля испытания и лица, разрешающего выпуск машины.
Приемочный критерий ввода в эксплуатацию — это измеримое условие, разделяющее годный и негодный результат до начала испытания. Формулировки «машина безопасно останавливается» недостаточно. Укажите максимально допустимое остаточное движение, порог давления, состояние выхода, разрешенное время реакции, комбинацию датчиков и поведение при повторном запуске.
ISO 12100 задает предшествующую этой работе основу оценки риска, а ISO 13849-1 — метод проектирования системы управления. Ни один из стандартов не назначает универсальный PLr или безопасное состояние для любого применения двуручного управления (ISO 12100, подтверждено в 2022 году; ISO 13849-1, 2023).
Если спецификация не отвечает, какое движение, давление или запасенная энергия допустимы после отпускания любой руки, остановитесь. Это пробел в проекте, а не настройка при вводе в эксплуатацию.
Какую таблицу состояний должна пройти схема?
У двуручного устройства есть два преднамеренных ручных входа, однако для валидации нужны не только четыре булевы комбинации входов. ISO 13851 также рассматривает предотвращение обхода защиты, предотвращение отказов и проверку. Таблица состояний должна включать порядок по времени, поведение удерживаемого входа, реакцию на отпускание, сброс и восстановление питания или воздуха (ISO 13851, подтверждено в 2024 году).
Составляйте таблицу состояний на основе утвержденной спецификации функции безопасности. Пример ниже является основой для испытаний, а не заменой руководству по выбранному THCD или стандарту машины.
| Состояние испытания | Вход A | Вход B | Дополнительное условие | Ожидаемый результат |
|---|---|---|---|---|
| S0 готовность | отпущен | отпущен | условия безопасности выполнены | выход остается выключенным, новая команда разрешена |
| S1 только A | нажат | отпущен | любая длительность | выход безопасности остается выключенным |
| S2 только B | отпущен | нажат | любая длительность | выход безопасности остается выключенным |
| S3 допустимая команда | нажат | нажат | требование синхронности выполнено | выход может включиться только при выполнении всех остальных условий безопасности |
| S4 поздний второй вход | нажат | нажат | требование синхронности не выполнено | выход остается выключенным; оба входа должны вернуться в требуемое состояние для повторного запуска |
| S5 отпущена одна рука | отпущен | нажат или наоборот | в течение требуемого периода управления | выход переходит в заданное безопасное состояние, а реакция машины остается в пределах |
| S6 повторная попытка с удерживаемым входом | нажат | отпущен, затем снова нажат, или наоборот | один вход не возвращался в состояние готовности | новый опасный цикл не разрешается |
| S7 восстановление | нажат или оба нажаты | нажат или отпущен | возвращается электрическое питание или воздух | неожиданное опасное повторное включение не происходит |
Записывайте и команду, и наблюдаемый результат. Бит контроллера безопасности может выключиться, пока клапан остается переключенным, давление сохраняется в замкнутом объеме или механизм продолжает двигаться. Приемочная запись должна содержать данные всей цепочки: вход, логику, выход и реакцию машины.
Названия состояний должны использоваться в процедуре испытаний, диагностике контроллера и итоговом отчете. Единые названия делают неудачное испытание прослеживаемым. Они также не позволяют расплывчатой записи вроде «проверка кнопок пройдена» скрыть, какой путь по времени или повторному запуску действительно проверялся.
Запрещенные состояния часто показывают больше, чем допустимое состояние. Правильный запуск двумя кнопками может пройти даже при неисправной защите от удержания кнопки или от повторного запуска. При вводе в эксплуатацию нужно уделять не меньше внимания командам, которые не должны создавать выход, чем единственной команде, которой это разрешено.
Как проверять одновременность, защиту от удержания кнопки и защиту от повторного запуска?
OSHA требует одновременного управления и защиты от повторного запуска для определенных применений механических прессов, а ISO 13851 определяет поведение устройства по типу THCD. Ни один источник не поддерживает перенос произвольного значения времени на любую машину. Проверяйте точное окно синхронности и последовательность повторного запуска, заданные выбранным устройством и спецификацией функции безопасности (OSHA 1910.217; ISO 13851).
Используйте управляемый генератор входных сигналов, трассировку контроллера безопасности или оснащенные датчиками приводы, если ручное нажатие не позволяет воспроизводимо проверять границы. Проверьте значения ниже, на уровне и выше допустимого предела синхронности. Записывайте временные метки переходов входов и выход безопасности. Не выводите фактическое окно времени из того, произошло ли случайное движение цилиндра.
Выполните эти последовательности сначала в порядке A-B, затем в порядке B-A:
- Нажмите второй вход значительно внутри разрешенного интервала и подтвердите, что допустимый выход возможен.
- Повторите испытание на документированной границе с оборудованием, имеющим достаточное временное разрешение.
- Нажмите второй вход за пределами разрешенного интервала и подтвердите, что выход остается выключенным.
- Отпустите только один вход, нажмите его снова, пока другой остается нажатым, и подтвердите, что новый цикл не начинается.
- Удерживайте один вход до сброса или входа в режим, затем задействуйте второй вход.
- Удерживайте оба входа во время сброса, восстановления питания и восстановления подачи воздуха.
- Отпустите оба входа, восстановите требуемое состояние готовности и подтвердите, что следующая допустимая команда выполняется по документированной последовательности.
Защита от удержания кнопки и защита от повторного запуска связаны, но не взаимозаменяемы. Защита от удержания кнопки не позволяет удерживаемому или обойденному входу сочетаться с повторным нажатием другого входа. Защита от повторного запуска не позволяет начать новый опасный цикл без требуемого отпускания и новой последовательности нажатий. В отчете об испытании следует указать, какое требование проверяет каждая последовательность.
Если время реализуется конфигурируемым контроллером безопасности, проверьте пределы параметров, контроль доступа, запись загрузки и контрольную сумму. Если его реализует отдельный модуль THCD, зафиксируйте точный номер детали, редакцию, условия питания и диагностическую индикацию. В обоих случаях проверяйте установленные сигналы. Каталожное утверждение не доказывает, что полевая проводка или трубки соответствуют оцененной конфигурации.
Планирование имитации отказов и управление испытанием
ISO 13849-2:2012 требует валидации заданных функций безопасности, категории и достигнутого Performance Level путем анализа и испытаний. Имитация отказов должна быть частью этого запланированного процесса валидации. Она должна опираться на определенные отказы, заданные приемочные критерии, уполномоченный персонал, контролируемую энергию и документированный способ восстановления машины (ISO 13849-2).
Никогда не импровизируйте с отказами на производственной машине, если человек находится в опасной зоне. До изменения входа или выхода безопасности установите ограждения, механические фиксаторы, испытательный режим, пределы энергии и порядок аварийного восстановления. Руководитель испытания должен иметь возможность остановить работу, как только наблюдаемое состояние машины отличается от процедуры.
Для каждого отказа документируйте:
- идентификатор испытания и проверяемое требование безопасности;
- точный проводник, трубку, клапан, датчик или программный сигнал, на который воздействуют;
- режим машины, нагрузку, положение, давление, температуру и скорость;
- безопасный способ имитации отказа;
- ожидаемую диагностическую индикацию и реакцию на отказ;
- текущий цикл, следующий цикл или оба цикла, которые должны быть заблокированы;
- ожидаемую реакцию выходного клапана, давления ниже по потоку и механики;
- шаги восстановления и проверки перед следующим испытанием;
- фактический результат, файл доказательств, свидетеля, дату и решение по результату.
Имитируйте по одному запланированному отказу, если только оценка риска и план валидации прямо не требуют проверки совокупных отказов. Неконтролируемые комбинации затрудняют диагностику и могут создать опасное состояние, которого процедура не предусматривала. После каждого испытания подтверждайте удаление временных перемычек, заглушек, программных принудительных значений, ограничителей трубок и имитированных сигналов обратной связи.
По нашему опыту проверки комплектов валидации, самый опасный артефакт испытания — недокументированный временный обход защиты. Яркий пронумерованный испытательный провод и подписанный контрольный список восстановления — простые средства контроля, но они не позволяют успешному испытанию отказа оставить машину в состоянии с отключенной защитой.
Матрица имитации отказов входов и логики
ISO 13849-1 распространяется на электрические, пневматические, гидравлические, механические и программные элементы функций безопасности с высокой частотой требований или непрерывным режимом. Поэтому схема двуручного управления может отказать из-за проводки, трубок, механики привода, параметров логики или общих источников питания. Перечень отказов должен соответствовать реализованной технологии, а не исходить из того, что каждая система чисто электрическая (ISO 13849-1, 2023).
Выбирайте отказы из анализа отказов проекта и руководств по безопасности компонентов. Следующая матрица дает варианты проверок, но не объявляет каждый перечисленный отказ применимым или безопасным для имитации.
| Вариант отказа | Что проверяет испытание | Какие данные зафиксировать |
|---|---|---|
| Обрыв входа A или потеря пневматического сигнала | потерю одного канала | состояние выхода, диагностику и блокировку повторного запуска |
| Обрыв входа B или потеря пневматического сигнала | независимость противоположного канала | те же данные при перестановке каналов |
| Короткое замыкание входа на питание или удержание давления | застрявший активный вход | поведение защиты от удержания кнопки и обнаружения отказа |
| Короткое замыкание входа на общий провод или выхлоп | застрявший неактивный вход | отсутствие ложного выхода и правильную диагностику |
| Межканальное короткое замыкание или перекрестные трубки, если это реально | независимость каналов и контроль расхождения | может ли одно действие удовлетворить обоим каналам |
| Механически удерживаемый привод | устойчивость к обходу защиты | отсутствие повторного цикла от свободного привода |
| Время входа за пределами разрешенного окна | контроль синхронности | временные метки и отклоненный выход |
| Измененный параметр времени | контроль конфигурации | защиту доступа, контрольную сумму, диагностику и результат испытания |
| Потеря питания входного модуля | поведение при снятии энергии | состояние выхода и повторного запуска |
| Удерживаемый или неисправный вход сброса | контроль сброса | сброс не запускает движение и не маскирует отказ входа |
Не создавайте короткое замыкание, если инструкции по компоненту и испытательная установка не делают этот способ безопасным. Предпочтительнее может быть встроенный тестовый импульс контроллера или сертифицированное устройство имитации отказов. Для пневматических входов может потребоваться одобренный производителем способ блокировки, стравливания или удержания сигнала, а не пережатие трубок или установка неуказанных ограничителей.
Проверьте симметрию каналов. Если отказ канала A обнаруживается, а соответствующий отказ канала B — нет, исследуйте проводку, конфигурацию диагностики и предположения об общей причине отказа. Пара входов не становится резервированной только потому, что на пульте видны две кнопки.
Матрица имитации отказов выхода и пневматики
Festo описывает пневматическое двуручное управление как одновременное задействование, создающее выходной сигнал. Сам по себе этот сигнал не является безопасным состоянием. При вводе в эксплуатацию необходимо проверить клапан ниже по потоку, путь давления, привод, нагрузку и обратную связь, поскольку отказ одного выходного элемента или ограниченный выхлоп могут изменить реакцию машины (пневматическая безопасность Festo).
Начните с режимов отказа выхода, выявленных в руководстве по безопасности клапана и при анализе схемы. Некоторые отказы следует имитировать через обратную связь или испытательное приспособление, а не физически заклинивать клапан. Метод не должен повреждать сертифицированный компонент или создавать неконтролируемое движение.
| Вариант отказа | Требуемый инженерный вопрос | Данные установленной системы |
|---|---|---|
| Один выходной канал не переключается | Сохраняет ли оставшаяся архитектура заданную функцию безопасности? | выход контроллера, обратная связь клапана, давление и движение |
| Обратная связь клапана остается в прежнем состоянии | Обнаруживается ли расхождение за требуемое время? | трассировка обратной связи, диагностический код, блокировка следующего цикла |
| Выхлопной тракт ограничен до правдоподобного предела | Остаются ли спад давления и движение в приемочных пределах? | кривая давления ниже по потоку и опасное движение |
| Глушитель заблокирован или установлена неправильная принадлежность | Обнаруживает ли документированная конфигурация ограничение или допускает его? | номер детали, трассировка давления и результат испытания |
| Минимальное и максимальное разрешенное давление питания | Сохраняется ли безопасная реакция во всем допустимом диапазоне? | давление в порту, состояние клапана и результат остановки |
| Подача воздуха потеряна и восстановлена | Может ли восстановление давления запустить движение? | состояния команд, рост давления и положение привода |
| Трубка ниже по потоку разрушилась или протекает | Двигается ли, освобождается или падает нагрузка? | состояние нагрузки и реакция независимого удерживающего устройства |
| Обратная связь по положению или давлению принудительно искажена | Обнаруживает ли логика правдоподобия расхождение? | значения датчиков, диагностика и поведение выхода |
| После стравливания действует гравитационная или пружинная нагрузка | Действительно ли выхлоп является безопасным состоянием? | измеренное движение и состояние удерживающего устройства |
Безопасной пневматической реакцией могут быть блокировка, выхлоп, остановка с удержанием, управляемый возврат или их сочетание. Немедленное стравливание не всегда безопасно. Вертикальный цилиндр может опуститься, а зажим — отпустить заготовку. Если эти функции входят в снижение риска, используйте руководство по интеграции безопасных выхлопных клапанов и руководство по замку штока цилиндра.
Обратная связь клапана доказывает, что рабочий элемент клапана достиг контролируемого состояния. Она не доказывает, что давление в опасной зоне упало достаточно быстро или что опасное движение остановилось. Трассировка валидации должна выходить за пределы контролируемого клапана и включать физическую величину, которая может причинить травму.
Измерение реакции установленной машины
Правило OSHA для механических прессов использует постоянную скорости руки 63 inches per second вместе с измеренным временем остановки или закрытия для определенных двуручных защитных устройств. Общий вывод состоит в том, что безопасное расстояние зависит от реакции установленной машины, а не от времени, указанного для реле или клапана в каталоге (OSHA 1910.217).
Синхронизируйте по времени события, определяющие функцию безопасности:
- переход ручного входа A и ручного входа B;
- решение логики безопасности и выходная команда;
- обратная связь выходного клапана или положение контролируемого элемента;
- давление ниже по потоку в соответствующей зоне;
- движение привода, ползуна, зажима или оснастки;
- достижение заданного порога безопасного состояния.
Используйте измерительное оборудование с достаточными разрешением и точностью для приемочного предела. Записывайте состояние калибровки, частоту выборки, диапазон датчика, метод запуска и масштабирование сигнала. Видео с телефона может помочь объяснить событие, но при близком к пределу результате не заменяет прослеживаемые данные о времени и движении.
Измеряйте наихудшее правдоподобное состояние, а не только удобный пустой цикл. Важными переменными могут быть максимальная нагрузка, наибольшая скорость, минимальное и максимальное давление питания, работа в нагретом и холодном состоянии, износ тормоза, максимально разрешенная длина трубки, разрешенный глушитель, ограниченный выхлоп, неблагоприятное положение цилиндра и направление силы тяжести.
ISO 13855:2024 рассматривает расположение двуручных устройств управления и других защитных устройств относительно приближения человека. Используйте применимый стандарт и требования типа C для фактической машины. Не переносите формулу OSHA для механического пресса или общее значение 500 ms на несвязанное пневматическое приспособление (ISO 13855, 2024).
Храните исходные трассировки вместе с обобщенным результатом «годно». Отчет должен позволять проверяющему на одной временной шкале определить требование безопасности, изменение выхода, реакцию давления, механическую реакцию и приемочный порог.
Как проверять сброс, восстановление питания и смену режимов?
OSHA 1910.217 требует отпустить все ручные органы управления операторов, прежде чем прерванный ход может возобновиться в определенных системах управления прессом. ISO 13849-1 рассматривает повторный запуск и поведение функции безопасности как часть полной конструкции управления. При вводе в эксплуатацию необходимо отдельно проверить сброс, включение и отключение питания, восстановление воздуха и смену режимов (OSHA 1910.217; ISO 13849-1).
Сброс должен подтвердить безопасное состояние и разрешить последующую команду. Сам по себе он не должен инициировать опасное движение. Проверяйте этот принцип при отпущенных входах рук, при удержании одного входа, при удержании обоих входов и при правильном или неправильном состоянии каждого относящегося к делу сигнала обратной связи.
Проверьте как минимум следующие переходы:
- выключение и включение контроллера, когда ни один ручной привод не нажат;
- восстановление питания при удержании одного привода;
- восстановление питания при удержании обоих приводов;
- восстановление воздуха до электрического питания и в обратном порядке;
- выполнение сброса, пока один вход остается активным;
- выполнение сброса при расхождении обратной связи клапана;
- переход из автоматического режима в ручной и из ручного в автоматический;
- возврат после аварийного останова;
- возврат после срабатывания ограждения или внешнего требования безопасности;
- потеря и восстановление связи при использовании сетевой безопасности.
Записывайте, остается ли машина остановленной, растет ли давление, движется ли привод и какое преднамеренное действие требуется перед новым циклом. «Бит выхода не включился» недостаточно, если восстановление воздуха может переключить клапан с возвратной пружиной или сдвинуть механизм под действием силы тяжести.
Аварийный останов и двуручное управление — отдельные функции безопасности. ISO 13850 определяет функцию аварийного останова независимо от технологии энергии. Не закрывайте успешно пройденным испытанием аварийного останова проваленное требование по двуручному управлению и наоборот (ISO 13850, подтверждено в 2020 году).
Почему блокировка и маркировка источников энергии требуют отдельной границы испытания?
OSHA 1910.147 прямо включает пневматическую энергию и требует, чтобы работы по обслуживанию охватывали неожиданное включение, запуск и высвобождение запасенной энергии. Двуручное устройство или реле безопасности являются эксплуатационной защитой, но автоматически не становятся устройством изоляции энергии. При вводе в эксплуатацию проверку функции безопасности следует отделять от проверки изоляции при обслуживании (OSHA 1910.147).
Запираемый ручной клапан подачи и стравливания может поддерживать процедуру контроля энергии, если устройство, монтаж, меры контроля запасенной энергии и шаги проверки соответствуют применимым требованиям. Само его наличие не устанавливает Performance Level автоматической функции безопасности. Точно так же нажатие аварийного останова или снятие выхода безопасности автоматически не изолирует каждый источник энергии.
Если имитация отказа требует войти в опасную зону, изменить трубки, зафиксировать клапан или коснуться нагрузки, применяйте утвержденную на предприятии процедуру изоляции. Определите пневматическую, электрическую, механическую, гравитационную, пружинную, вакуумную, гидравлическую и тепловую энергию. Сбросьте, отключите, заблокируйте или удерживайте запасенную энергию, затем проверьте изоляцию до начала работы.
После завершения изменения уберите инструменты и временные испытательные устройства, восстановите ограждения, убедитесь, что люди находятся вне опасной зоны, и выполните утвержденную процедуру возврата в эксплуатацию. Следующее функциональное испытание начинается только после возврата машины в определенную испытательную конфигурацию.
Руководство по выбору ручных и механических клапанов объясняет обычные функции клапанов. Не считайте обычный ручной клапан устройством изоляции с рейтингом безопасности или входом THCD, если документация не подтверждает именно такое применение.
Какие данные делают запись валидации проверяемой?
ISO 13849-2 требует валидации заданных функций безопасности, категории и Performance Level путем анализа и испытаний. Один контрольный список «годно/негодно» не показывает, какая конфигурация испытывалась. Итоговая запись должна связывать каждое требование с методом, измеренным результатом, реакцией на отказ, файлом доказательств и утвержденным решением (ISO 13849-2, 2012).
Используйте одну строку на испытание, а не одну строку на компонент:
| Поле записи | Обязательное содержание |
|---|---|
| Функция безопасности | идентификатор, описание, опасность, безопасное состояние, PLr |
| Требование | точный критерий состояния, времени, движения, давления или повторного запуска |
| Конфигурация | серийный номер машины, редакции чертежей, контрольная сумма программы, редакции устройств |
| Условия испытания | режим, давление, нагрузка, скорость, положение, температура и принадлежности |
| Действие испытания | обычная команда или точный имитированный отказ и метод |
| Ожидаемый результат | диагностика, выход, давление, движение и поведение при повторном запуске |
| Фактический результат | измеренные значения и наблюдения, а не только «годно» |
| Доказательства | трассировка, фотография, видео, журнал контроллера, файл прибора и ссылка на калибровку |
| Восстановление | временные изменения удалены, нормальная конфигурация проверена |
| Решение | годно, негодно, отклонение, корректирующее действие и ссылка на повторное испытание |
| Утверждение | испытатель, независимый проверяющий при необходимости, дата и подписи |
Согласуйте расчетные записи и записи валидации. Если меняются тип клапана, программа контроллера, размер трубки, глушитель, давление питания, движущаяся нагрузка, тормоз, оснастка или определение безопасного состояния, проверьте, какие анализы и испытания больше не действительны. Контроль конфигурации является частью доказательств.
До выпуска машины разберите каждое неудачное или прерванное испытание. Необъяснимое «годно после настройки» не является закрытием вопроса. Зафиксируйте, что изменилось, почему изменение допустимо, какие документы пересмотрены и какие регрессионные испытания повторены.
ANSI B11.19-2019 (R2024) охватывает эксплуатационные требования к проектированию, монтажу, эксплуатации и обслуживанию защитных устройств и других мер снижения риска. Для машин в Северной Америке используйте его вместе с применимым отраслевым стандартом B11 для конкретной машины и требованиями законодательства, а не рассматривайте один общий контрольный список как сертификацию (ANSI B11.19).
Когда испытания нужно остановить и вернуть задачу инженерам?
ISO 12100 требует оценивать и проверять снижение риска на протяжении всего жизненного цикла машины. При вводе в эксплуатацию нельзя одобрить функцию безопасности, подстраивая систему под неопределенную опасность, нестабильный результат остановки или неработающую реакцию на отказ. Если приемочные критерии нельзя стабильно выполнить, испытания прекращаются, а проект возвращается инженерам (ISO 12100).
Остановите испытания, если:
- безопасное состояние отсутствует, противоречиво или различается в документах;
- отказ вызывает неожиданное опасное движение или освобождение нагрузки;
- временный обход защиты нельзя однозначно идентифицировать и контролировать;
- измеренные результаты остановки или падения давления превышают предел;
- результаты выходят за допустимый допуск при разных условиях нагрузки или давления;
- документация клапана, контроллера или THCD не охватывает установленную конфигурацию;
- расчет достигнутого PL зависит от непроверенных данных компонента;
- диагностика не блокирует цикл, требуемый спецификацией;
- восстановление питания или воздуха создает неожиданное движение;
- для испытания пришлось бы подвергнуть человека неконтролируемой опасности;
- испытательная конфигурация больше не соответствует выпущенным чертежам и программному обеспечению.
Не скрывайте отказ проекта увеличением задержки контроллера, снижением скорости машины, перемещением кнопок или добавлением инструкции оператору без обновления оценки риска и основы валидации. Изменение может быть действительным решением, но оно создает новую конфигурацию, которую нужно пересмотреть и повторно испытать.
Для запроса предложения или технического рассмотрения отправьте спецификацию функции безопасности, выбранный тип THCD, схемы контура, PLr, данные клапана, условия нагрузки и давления, пределы времени, перечень отказов и требуемые доказательства через страницу технического контакта.
Часто задаваемые вопросы о вводе в эксплуатацию контура двуручной безопасности
ISO 13851 определяет три типа THCD, тогда как ISO 13849-1 не предписывает один универсальный PLr. Поэтому эти ответы сосредоточены на валидации установленной системы и документации. Руководство по выбранному устройству, оценка риска машины, применимый стандарт типа C и местные требования законодательства остаются определяющими источниками.
Может ли обычный цикл с двумя кнопками доказать безопасность схемы?
Нет. Он доказывает только, что одна предусмотренная команда создала выход в проверенных условиях. Валидация также должна проверять ранние, поздние, удерживаемые, отпущенные и неисправные входы, расхождения выхода и обратной связи, восстановление питания и воздуха, а также физическую реакцию машины. Приемочные критерии должны исходить из утвержденной спецификации функции безопасности.
Всегда ли обе кнопки нужно нажимать в течение 500 ms?
Не применяйте 500 ms как универсальное значение для любой машины. Допустимое поведение синхронизации зависит от выбранного типа THCD, инструкции изделия, применимого стандарта и спецификации функции безопасности. Проверьте значения ниже, на уровне и выше документированной границы сначала в порядке A-B, затем B-A, после чего запишите временные метки входов и выхода безопасности.
Можно ли имитировать отказ на работающей производственной машине?
Только по контролируемой и утвержденной процедуре валидации, исключающей воздействие опасности на человека. До имитации отказа должны быть определены ограждения, фиксаторы, испытательный режим, пределы энергии, шаги восстановления и квалифицированный персонал. Если работа требует входа в опасную зону или изменения путей энергии, применяйте утвержденную на предприятии процедуру изоляции.
Доказывает ли обратная связь клапана, что машина достигла безопасного состояния?
Нет. Обратная связь может показать, что контролируемый элемент клапана достиг положения, но давление может оставаться запертым, а механизм — продолжать движение. Измеряйте физическую приемочную величину, названную функцией безопасности, например опасный ход, время остановки, давление ниже по потоку, состояние зажима или удержание нагрузки.
Как часто нужно повторно испытывать контур двуручного управления?
Не существует универсального ежедневного, ежемесячного или ежегодного интервала для каждого контура. Устанавливайте интервалы осмотров и функциональных испытаний с учетом оценки риска, инструкций по компонентам, частоты использования, конструкции диагностики, окружающей среды, стандарта конкретной машины, требований законодательства и истории отказов. Повторно валидируйте затронутые требования после изменений оборудования, программного обеспечения, оснастки, давления, скорости или нагрузки.
Откуда берутся требования к валидации?
Источники ниже задают взаимодополняющие границы: ISO 13851 касается проектирования и выбора THCD; ISO 13849 — проектирования и валидации систем управления, связанных с безопасностью; ISO 13855 — расположения защитных устройств; правила OSHA применяются к определенным ситуациям с прессами и контролем энергии в США. Ни один источник не заменяет оценку риска машины или применимый стандарт типа C.
- ISO 13851:2019. Принципы двуручных устройств управления, три функциональных типа, предотвращение обхода защиты, выбор и проверка. Подтверждено в 2024 году; просмотрено 22 июля 2026 года.
- ISO 13849-1:2023. Метод проектирования и интеграции частей систем управления, связанных с безопасностью, для электрических, пневматических, гидравлических, механических и программных технологий. Просмотрено 22 июля 2026 года.
- ISO 13849-2:2012. Валидация функций безопасности, категорий и Performance Level путем анализа и испытаний. Текущее опубликованное издание ожидает пересмотра; просмотрено 22 июля 2026 года.
- ISO 12100:2010. Принципы оценки риска и снижения риска для машин. Подтверждено в 2022 году; просмотрено 22 июля 2026 года.
- ISO 13855:2024. Расположение защитных устройств, включая двуручные устройства управления, относительно приближения человека. Просмотрено 22 июля 2026 года.
- ISO 13850:2015. Принципы функции аварийного останова независимо от технологии энергии. Подтверждено в 2020 году; просмотрено 22 июля 2026 года.
- OSHA 29 CFR 1910.217. Требования США к механическим прессам для определенных двуручных органов управления и пусковых устройств, включая одновременное управление, защиту от повторного запуска и безопасное расстояние. Просмотрено 22 июля 2026 года.
- OSHA 29 CFR 1910.147. Контроль опасной энергии, включая пневматическую энергию, во время охватываемых правилом работ по обслуживанию и ремонту. Просмотрено 22 июля 2026 года.
- ANSI B11.19-2019 (R2024). Эксплуатационные требования к защитным устройствам и другим мерам снижения риска. Просмотрено 22 июля 2026 года.