Ни одна конструкция пневматической системы безопасности не может доказать универсальное снижение числа тяжелых травм на 98%. Обоснованное проектирование начинается с опасности машины, определяет требуемое безопасное состояние, выбирает подходящую архитектуру управления и проверяет полную защитную функцию. Быстродействующие клапаны, резервирование, диагностика, удержание нагрузки, блокировка и LOTO могут быть важны, но решают разные задачи.
OSHA оценивает, что соблюдение ее требований по блокировке и маркировке предотвращает 120 смертей и 50,000 травм ежегодно. Эта цифра относится к управлению опасной энергией в разных отраслях, а не к одной пневматической цепи или схеме клапанов (информационный лист OSHA о блокировке и маркировке, 2022).
Ключевые выводы
- Ни один стандарт не поддерживает универсальное обещание снизить число травм на 98%.
- Определите безопасное состояние до выбора клапанов или замков штока.
- Для расчета безопасного расстояния используйте полное время остановки, а не только время срабатывания клапана.
- Проверяйте установленную защитную функцию и отделяйте LOTO для обслуживания.
Может ли конструкция пневматической системы безопасности гарантировать предотвращение 98% травм?
OSHA связывает около 120 предотвращенных смертей и 50,000 предотвращенных травм в год с соблюдением требований по опасной энергии, но не приписывает конструкции пневматической безопасности результат 98%. Ни один стандарт ISO или IEC по безопасности машин не устанавливает такой универсальный процент (информационный лист OSHA о блокировке и маркировке, 2022).
Если превратить процент в цель проектирования, важные переменные останутся скрытыми. Риск травмы зависит от опасности, воздействия, возможной тяжести последствий, доступа, режима работы, поведения человека, реакции машины, надежности компонентов и эффективности мер снижения риска. Результат, полученный для одного завода или машины, нельзя автоматически перенести на другой.
Снижение риска — это процесс уменьшения риска за счет изначально безопасной конструкции, ограждений и дополнительных защитных мер, а также информации для использования. ISO 12100 описывает его как итеративный процесс, а не как сокращенный путь к выбору продукта (ISO 12100:2010).
Задайте измеримый вопрос: достигает ли машина определенного безопасного состояния и сохраняет ли его до того, как человек столкнется с опасностью, включая неисправности, которые должна выдерживать выбранная архитектура? На него отвечают расчеты, данные компонентов, испытания и записи.
Формулируйте узкое проверяемое утверждение. Например: «Открытие ограждения A останавливает опасное движение зажима до пересечения расчетного безопасного расстояния, а обнаруженная неисправность выхода предотвращает автоматический перезапуск». Это поддается аудиту. Утверждение «наша система предотвращает 98% травм» — нет.
Определите защитную функцию до выбора клапана
Определите каждую защитную функцию до выбора клапана. ISO 12100:2010 — 77-страничный стандарт безопасности машин, подтвержденный как действующий в 2022 году; он начинается с идентификации опасностей и итеративного снижения риска. Спецификация должна содержать требование к функции, безопасное состояние, поведение при отказе и критерии приемки (ISO 12100:2010).
Защитная функция — это заданная реакция машины, снижающая риск при определенном событии. Фраза «установить контролируемый клапан сброса» описывает компонент, а не полную защитную функцию. Спецификация должна указать, что запускает реакцию, какое опасное поведение нужно остановить или предотвратить и как будет проверен результат.
Начните с шести вопросов:
- Какое движение, давление, гравитационная нагрузка, вакуум, сила пружины или запасенная энергия может причинить вред во время работы, остановки, потери питания, обслуживания и восстановления после прерывания?
- Кто может подвергнуться воздействию и в каких рабочих или сервисных режимах?
- Какое физическое состояние является безопасным?
- Как быстро нужно достичь этого состояния и как долго его сохранять?
- Какие неисправности нужно обнаруживать или выдерживать?
- Какое поведение сброса и перезапуска предотвращает новую опасность?
Безопасные состояния могут различаться в одной машине. Для горизонтального зажима может потребоваться снять давление. Вертикальную ось нужно поддержать до сброса воздуха. Захвату может понадобиться удерживать деталь до завершения безопасной укладки. Почему «воздух отключен» должно всегда означать «безопасно»?
| Опасное состояние | Возможное требование к безопасному состоянию | Необходимое подтверждение |
|---|---|---|
| Горизонтальный цилиндр может прижать оператора | Остановить движение, перекрыть питание, снизить остаточное давление | Испытание полного времени остановки и остаточного давления |
| Вертикальная нагрузка может упасть при исчезновении давления | Удержать или механически поддержать нагрузку до сброса воздуха | Номинальные данные удержания и испытание установленной нагрузки |
| Вакуумный захват может уронить деталь | Сохранить захват или переместить деталь в контролируемое место | Испытание потери питания и мониторинг нагрузки |
| Привод с возвратной пружиной движется при сбросе | Контролировать или ограничить возвратное движение | Проверка хода, силы и зоны доступа |
| Техник входит для обслуживания | Изолировать, заблокировать и рассеять или удержать запасенную энергию | Специальная процедура LOTO машины и проверка изоляции |
В руководстве по безопасной двухручной цепи управления показано, как один входной метод становится частью более широкой цепочки входа, логики, выхода и проверки.
Почему универсальная цель для клапана 15–50 ms небезопасна?
Одного времени реакции клапана недостаточно, чтобы определить безопасное расстояние разделения. ISO 13855:2024, стандарт объёмом 72 страницы, связывает расположение защитного устройства с полной эффективностью остановки. На результат конкретного применения влияют датчик, логика, выход, падение давления, движение привода, поведение нагрузки и механическое замедление (ISO 13855:2024).
Время переключения клапана — лишь один интервал. Клапан может сработать за 20 ms, но большому объёму downstream может потребоваться гораздо больше времени для сброса давления. Цилиндр также может продолжать движение из-за запертого давления, инерции, гравитации, внешней пружины или запасенной механической энергии.
Во многих применениях ISO 13855 общая зависимость для расстояния разделения выглядит так:
где — минимальное расстояние разделения в миллиметрах, — применимый коэффициент скорости приближения человека в миллиметрах в секунду, — полная эффективность остановки в секундах, а — запас на проникновение или доступ в миллиметрах. Точные значения и условия зависят от защитного устройства, способа приближения, стандарта машины и применения.
Представьте полный бюджет времени следующим образом:
Каждый член представляет вклад в наихудшем случае: от обнаружения до окончательной остановки опасной функции. Данные производителя о времени реакции могут поддержать предварительные расчёты, но эффективность остановки после монтажа всё равно нужно измерить. Руководство Rockwell по применению систем безопасности за 2026 год также указывает, что в окончательном расчёте следует использовать конкретную систему безопасности и измеренное время остановки машины (Rockwell Automation, 2026).
Измеряйте сигнал и физический результат по одной временной базе:
- зафиксируйте требование защитного устройства;
- запишите переходы на входе и выходе контроллера безопасности;
- контролируйте обратную связь конечного элемента, если она предусмотрена;
- измерьте давление у соответствующих портов привода;
- зафиксируйте последнее опасное движение, а не только перемещение золотника клапана;
- повторите измерение при наихудших подтверждённых нагрузке, давлении, температуре, режиме работы, ограничении выпуска и ожидаемом загрязнении, которые могут замедлить физическую реакцию.
Если целью безопасности является снижение давления, определите downstream-давление, которое представляет безопасное состояние, и допустимое время его достижения. Если целью является удержание нагрузки, снижение давления может быть вторичным. Критерий приемки должен соответствовать защитной функции.
Для осей, продолжающих движение после снятия энергии, руководство по динамике аварийной остановки рассматривает инерцию, внешние нагрузки и разницу между отключением энергии и фактической остановкой движения.
Выбор PL или SIL для безопасности машин
Выберите применимую систему до расчёта надёжности. ISO 13849-1:2023 объёмом 152 страницы охватывает защитные системы управления с высокой или непрерывной потребностью, включая пневматические и другие технологии; IEC 62061:2021 предлагает основанный на SIL подход к безопасности машин. Требования проекта определяют, какой метод применяется (ISO 13849-1:2023; IEC 62061:2021).
Уровень эксплуатационной способности, или PL, — это показатель ISO 13849, описывающий способность связанной с безопасностью системы управления выполнять защитную функцию в ожидаемых условиях. Уровень полноты безопасности, или SIL, — соответствующее понятие, которое IEC 62061 применяет к системам управления, связанным с безопасностью машин.
Ни одно из этих обозначений не относится к клапану изолированно, если утверждение касается всей машины. Сертификация конечного элемента может предоставить полезные данные об отказах и характеристиках архитектуры, но достигнутый PL или SIL также зависит от входных устройств, логики, интерфейсов, диагностики, мер против отказов по общей причине, условий применения и проверки.
Не рассчитывайте обе системы, выбирая затем результат, который выглядит удобнее. Используйте метод, заданный нормативным маршрутом проекта, стандартом машины, спецификацией заказчика и инженерным процессом. Документируйте допущения, границы подсистем, время задания, частоту требований, данные надёжности компонентов, исключения отказов и охват диагностики.
Подробности расчёта PLr, Category, MTTFd, DCavg, CCF и SISTEMA приведены в руководстве по пневматическим цепям безопасности ISO 13849. Эта статья остаётся на уровне системного решения: что именно должен сделать пневматический выход и как установленная машина это докажет?
Как выбрать безопасное состояние пневматической системы?
Выбирайте безопасное состояние на основе анализа опасности, а не стандартной команды выпуска воздуха. ISO 14118:2017, стандарт объёмом 11 страниц, рассматривает неожиданный запуск из-за пневматической энергии, гравитации, пружин и внешних воздействий, но не задаёт PL или SIL для конкретной машины (ISO 14118:2017).
Безопасное пневматическое состояние — это физическое состояние, в котором определённые запасенные пневматические и механические энергии больше не создают неприемлемой опасности. Оно может требовать одного действия или согласованной последовательности.
Распространённые варианты:
- Изоляция и выпуск: изолируйте питание и сбросьте давление в контуре, который не удерживает нагрузку.
- Удержание до выпуска: задействуйте квалифицированное устройство удержания нагрузки или механический ограничитель, проверьте зацепление, затем выпустите воздух из соответствующего объёма.
- Сохранение давления: временно сохраните давление, если потеря вакуума или усилия захвата может уронить деталь, контролируя запасенную энергию.
- Контролируемый возврат: переместите привод в проверенное безопасное положение до изоляции энергии.
- Механическая опора: изолируйте поднятый элемент ограничителем, рассчитанным на его массу, направление нагрузки, доступ и ожидаемые работы по обслуживанию, чтобы безопасное состояние не зависело от сжатого воздуха или управляющего сигнала.
Не считайте «двухдавленческий механизм блокировки» универсальной категорией защитного устройства. Определите фактический механизм: пружинный замок штока, динамический тормоз, пилотируемый обратный клапан, способ уравновешивания нагрузки, внешняя механическая опора или другой проверенный ограничитель. Статическое удержание нагрузки и аварийное торможение — разные функции.
Используйте руководство по интеграции клапанов безопасного выпуска, когда требуемым результатом является снижение давления. Для удерживаемых нагрузок руководство по пневматическим замкам штока объясняет, почему статическая удерживающая способность автоматически не подтверждает динамическую остановку.
Руководство по цилиндрам с фиксацией рассматривает ещё один способ сохранения положения, однако пределы конкретного изделия нужно оценивать в составе полной защитной функции.
Запираемый клапан выпуска может поддержать изоляцию пневматической энергии, но полная процедура также должна охватывать запертое давление, гравитационные нагрузки, другие источники энергии, проверку и повторный запуск.
Что должны доказывать резервирование и диагностика?
Резервирование должно выдерживать отказы, заявленные в анализе безопасности. ISO 13849-1:2023, стандарт объёмом 152 страницы, охватывает пневматические, механические, электрические, гидравлические и программные элементы. Два клапана могут отказать одновременно, если у них общий источник питания, команда или уязвимый путь выпуска (ISO 13849-1:2023).
Резервирование полезно только тогда, когда после соответствующего отказа одного канала другой всё ещё способен выполнить требуемую реакцию. Диагностика полезна только тогда, когда обнаруживает отказы, заявленные в анализе безопасности, и вызывает определённую реакцию до того, как накопившиеся отказы нарушат функцию.
Что может вывести из строя оба канала? Номинальная независимость может быть нарушена загрязнённым воздухом, замёрзшей влагой, одним слишком маленьким глушителем, общей электроподачей, неправильным обслуживанием, общим выходом контроллера, механическим заеданием или отказом удержания. Одно лишь физическое расстояние не исключает отказ по общей причине.
По нашему опыту проверки концепций пневматической безопасности, быстрее всего слабое резервирование выявляет трассировка энергии и команд, а не подсчёт компонентов. Мы спрашиваем, что питает оба канала, что не даёт им одновременно выпустить воздух, какая обратная связь подтверждает физическое состояние и какая одна ошибка обслуживания может повлиять на оба канала.
Зафиксируйте в инженерном досье:
- опасность, инициирующее событие, точную защитную функцию, физическое безопасное состояние, предел времени реакции и требуемый PLr или SIL;
- архитектуру и границы подсистем;
- данные производителя о B10d, MTTFd, частоте отказов, применении и среде с каждым используемым допущением;
- охват диагностики, частоту испытаний, реакцию на отказ и физическую величину, которую каждая диагностическая функция контролирует или не может контролировать;
- меры против отказов по общей причине, исключения отказов и их обоснования;
- ожидаемую частоту циклов, время задания и ограничения обслуживания;
- реакцию машины на обнаруженный отказ, условия сброса и доказательства, необходимые до возобновления производства.
Обратная связь положения золотника подтверждает положение золотника, а не downstream-давление или движение цилиндра. Реле давления подтверждает давление у своего порта, а не механическое удержание. Датчик цилиндра подтверждает положение поршня, но не обязательно внешнюю нагрузку. Выбирайте обратную связь, максимально близкую к физическому результату, который защитная функция должна обеспечить.
Как проверять установленную защитную функцию?
Проверка должна подтверждать заданную функцию на установленной машине. ISO 13849-2:2012, стандарт объёмом 79 страниц, посвящён проверке защитных функций, достигнутой категории и достигнутому уровню эксплуатационной способности анализом и испытаниями; одной сертификации компонента недостаточно для доказательства характеристик системы (ISO 13849-2:2012).
Составьте план проверки до ввода в эксплуатацию. Свяжите каждое требование с методом, критерием приемки, испытательным случаем, ответственным лицом и записью. Если требование говорит «быстрый выпуск», но не указывает место измерения, предел давления, временную опору и worst-case объём, его всё ещё нельзя испытать.
| Цель проверки | Измерение или проверка | Представительный для применения вызов | Доказательство приемки |
|---|---|---|---|
| Остановка опасного движения | Синхронная запись требования и движения | Подтверждённые максимальные скорость и нагрузка | Измеренное время остановки в пределах проектного лимита |
| Достижение безопасного давления | Запись downstream-давления во времени | Наибольший объём и наиболее ограниченный путь выпуска | Достижение порога в заданное время |
| Удержание гравитационной нагрузки | Положение или перемещение во времени | Потеря питания и соответствующие единичные отказы | Движение остаётся в пределах принятого лимита |
| Обнаружение отказа выхода | Обратная связь и журнал контроллера безопасности | Один выход не может изменить состояние | Отказ обнаружен, повторный запуск заблокирован |
| Предотвращение неожиданного повторного запуска | Контроль команды, сброса и привода | Закрытие ограждения или восстановление питания | Опасное движение отсутствует до намеренного сброса |
| Сохранение изоляции во время обслуживания | Проверка изоляции энергии | Запертое или повторно накопившееся давление | Все источники энергии изолированы или ограничены |
Испытывайте ожидаемые отказы, не создавая неконтролируемого воздействия опасности. Используйте подходящее оборудование, ограждённые зоны, калиброванные приборы, поддержанные нагрузки и утверждённую процедуру испытаний. Некоторые отказы можно смоделировать отключением обратной связи или одного канала; другие требуют анализа, поскольку физическое введение отказа было бы небезопасным или разрушительным.
Одна успешная остановка ещё не является программой проверки. Повторяйте измерения при допусках питания, диапазоне нагрузки, режимах работы, температуре, ограничении выпуска и состояниях компонентов, дающих самую медленную реакцию. Записывайте наблюдённые максимумы и неопределённость измерения. Сохранит ли функция работоспособность, если следующая остановка будет немного медленнее?
Повторяйте проверку после любого изменения клапана, глушителя, трубок, времени контроллера, программы, нагрузки, ограждения, цилиндра, замка штока, настройки давления или метода испытаний. Описание замены как «полностью аналогичной» не доказывает совпадение данных безопасности или динамического поведения.
LOTO и пределы безопасности системы управления
LOTO регулирует соответствующие работы по обслуживанию, когда необходимо контролировать опасную энергию. OSHA 29 CFR 1910.147 прямо включает пневматическую энергию и требует изоляции, обработки запасенной или остаточной энергии и проверки до начала работы. Аварийная остановка или безопасный выход PLC не могут заменить эту процедуру (OSHA 1910.147).
Функции аварийной остановки и ограждения поддерживают снижение риска во время работы. LOTO управляет опасной энергией при соответствующих сервисных и ремонтных работах. Нажатие кнопки аварийной остановки обычно меняет состояние управления, но может физически не изолировать электрическую энергию, пневматическое питание, аккумуляторы, запертое давление в камере, гравитацию или пружины.
Последовательность OSHA требует подготовки, упорядоченной остановки, изоляции источников энергии, установки замков или бирок, контроля запасенной энергии и проверки. Пневматическая проверка может включать осмотр индикатора давления, обычное включение органа управления там, где это разрешено, испытание запертого давления и подтверждение, что поднятые элементы изолированы блоками или иным образом ограничены.
Запираемый клапан выпуска может быть одним из устройств изоляции энергии. Но он не определяет каждый источник энергии и не доказывает, что заблокированный путь не сможет снова накопить давление. Процедуры конкретной машины должны указать положение клапана, место замка, точки выпуска, способ удержания, шаг проверки и последовательность возврата.
OSHA также требует проверять каждую процедуру контроля энергии не реже одного раза в год согласно 1910.147(c)(6). Этот интервал относится к проверке процедуры, а не автоматически к каждому proof-тесту защитного клапана. Интервалы испытаний компонентов и защитной функции определяются применимым стандартом, данными производителя, расчётом надёжности, оценкой риска и наблюдаемым состоянием.
Частые вопросы о пневматической системе безопасности: что должны проверить инженеры?
Инженеры должны проверить три разных результата. ISO 13849-1:2023 охватывает защитные системы управления с высокой или непрерывной потребностью, ISO 14118:2017 рассматривает неожиданный запуск из нескольких источников энергии, а OSHA 1910.147 регулирует соответствующие сервисные работы. Безопасность управления, физическое безопасное состояние и изоляция энергии должны быть согласованными требованиями.
Должен ли клапан аварийной остановки закрываться за 50 ms?
Универсальный предел 50 ms не применяется к каждой пневматической машине. Требуемый результат определяется оценкой риска, безопасным состоянием и расчётом полной эффективности остановки. Измеряйте всю цепочку от инициирующего устройства через логику, реакцию клапана, изменение давления и поведение привода до остановки опасного движения. Сравнивайте worst-case результат с документированным критерием приемки.
Делает ли клапан PL e или SIL 3 всю машину соответствующей требованиям?
Нет. Сертификация компонента описывает его при определённых условиях и архитектурах. Полная защитная функция также включает датчики, логику, интерфейсы, пневматические выходы, механическое поведение, диагностику, меры против отказов по общей причине, программное обеспечение, монтаж и проверку. Проектировщики должны проверить достигнутый PL или SIL для заданных границ системы, а не переносить рейтинг одного компонента на машину.
Должен ли каждый пневматический контур выпускать воздух при открытии ограждения?
Нет. Сброс давления может создать опасность падения нагрузки, возврата под действием пружины, потери вакуума или неконтролируемого движения. Сначала определите безопасное состояние для каждой опасной функции. Одни контуры следует разрядить, а другим может потребоваться замок штока, механическая опора, контролируемо удерживаемое давление или управляемый возврат. Проверьте полную последовательность в нормальных условиях и при отказах.
Может ли замок штока заменить механическую блокировку или LOTO?
Не автоматически. Замок штока может удерживать статическую нагрузку при заданных условиях, но динамическое торможение, защита людей и изоляция энергии остаются отдельными функциями. Подтвердите точную спецификацию изделия, последовательность зацепления, направление нагрузки, состояние штока, поведение при отказе и документацию безопасности. При соответствующих сервисных работах следуйте процедуре LOTO конкретной машины и при необходимости поддерживайте опасные гравитационные нагрузки.
Как часто нужно испытывать пневматическую защитную функцию?
Для proof-тестирования каждой пневматической защитной функции нет универсального ежемесячного, ежеквартального или ежегодного интервала. Используйте применимый стандарт, расчёт надёжности, инструкции производителя, число рабочих циклов, диагностику, среду и оценку риска. OSHA отдельно требует проверять каждую процедуру контроля энергии не реже одного раза в год. Повторяйте проверку после любого изменения, которое может повлиять на защитную функцию или её допущения.
Источники и технические ссылки
- Информационный лист OSHA о блокировке и маркировке, оценка предотвращённых смертей и травм, охваченные типы энергии и обучение работников. Дата обращения: 2026-07-27.
- OSHA 29 CFR 1910.147, контроль опасной энергии, обработка запасенной энергии, проверка изоляции и периодическая проверка процедуры. Дата обращения: 2026-07-27.
- ISO 12100:2010, оценка опасностей машин и итеративное снижение риска. Дата обращения: 2026-07-27.
- ISO 13850:2015, принципы функции аварийной остановки. Дата обращения: 2026-07-27.
- ISO 13855:2024, расположение защитных устройств и приближение людей. Дата обращения: 2026-07-27.
- ISO 13849-1:2023, проектирование и интеграция частей систем управления, связанных с безопасностью. Дата обращения: 2026-07-27.
- ISO 13849-2:2012, проверка анализом и испытаниями. Дата обращения: 2026-07-27.
- IEC 62061:2021, функциональная безопасность систем управления, связанных с безопасностью машин. Дата обращения: 2026-07-27.
- ISO 14118:2017, предотвращение неожиданного запуска от подведённой и запасенной энергии. Дата обращения: 2026-07-27.
- ISO 4414:2010, требования безопасности к пневматическим системам при проектировании, монтаже, эксплуатации и обслуживании. Дата обращения: 2026-07-27.
- Технология применения систем безопасности Rockwell Automation, расстояние разделения для применения, время полной цепочки реакции, измерение времени остановки машины и прямое предупреждение использовать в окончательном расчёте фактическую установку. Дата обращения: 2026-07-27.