가변 속도 드라이브의 기계 안전 기능

전자 장비의 안전 기능에 대한 일반 원칙

이 블로그에서는 기계 안전 기능에 가변 속도 드라이브를 사용하는 방법을 소개합니다. 이것은.c 인버터 드라이브에 익숙하지만 안전 관련 제어 시스템에 익숙하지 않은 사람들을 돕기 위한 것입니다. 독자가 원칙을 이해하고 안전 관련 시스템에 대해 사용할 수 있는 많은 세부 자료에 액세스하는 데 도움이 되어야 합니다.

"기능적 안전"이라는 용어는 전기, 전자 또는 프로그래밍 가능한 장비가 인간의 안전에 영향을 미치는 기능을 수행하는 데 사용되는 경우 적용됩니다. 이것은 철도 신호 및 사고 발생 시 많은 사람들이 위험에 처할 수 있는 대형 공정 플랜트의 모니터링 및 제어와 같은 다양한 애플리케이션을 포함하는 거대한 주제입니다. 그러나 가장 일반적으로 드라이브 응용 프로그램에서는 기계 작동으로 인해 사람이 부상을 입을 위험이 있는 상황을 방지하기 위해 제어 시스템을 사용할 수 있는 일종의 기계를 나타냅니다. 간단한 예는 안전 장벽으로 기계의 일부에 접근하기 위해 자주 열어야 하지만 열려 있으면 기계가 작동할 수 없어야 합니다. 센서와 액추에이터 시스템은 장벽의 상태를 감지하고 기계를 제어하도록 설계할 수 있습니다.

PLC 및 디지털 VSD와 같은 지능형 프로그래밍 가능 장비의 가용성으로 인해 안전 시스템은 이 예보다 더 유연하고 지능적일 수 있으므로 여전히 안전을 유지하면서 유연한 작동이 가능합니다. 예를 들어, 자격을 갖춘 사람이 특수 안전 키를 조작하거나 그 사람의 얼굴을 인식하는 경우 또는 기타 예방 조치를 취하는 경우 장벽이 열려 있을 때 감소된 속도로 계속 작동하도록 허용할 수 있습니다.

실패 모드

안전 기능의 중요한 요소는 기능의 신뢰성이 간단한 전기, 전자 또는 프로그래밍 가능한 장비로 달성할 수 있는 것보다 훨씬 더 좋아야 한다는 것입니다. 기존의 전기 또는 전자 회로의 품질이 아무리 우수하더라도 일부 구성 요소 오류가 발생하여 필요한 안전 기능을 수행하지 못하는 결과를 초래할 수 있지만 오류는 명백하지 않습니다. 따라서 안전 기능을 위한 하드웨어는 자체 테스트 또는 "고장 안전" 기능이 내장되어 설계되어야 합니다. 제품 개발 중에 하드웨어 오류의 영향은 FMEA(고장 모드 및 영향 분석) 및 잠재적으로 위험한 오류 모드에서 분석되어야 합니다. 설계상 매우 낮은 수준으로 줄여야 합니다. PFH_D의 일반적인 대상 (위험한 방향의 실패 확률) 무결성 수준 SIL3은 10 ^-8 입니다. 시간당, 즉 10,000년당 1개 미만의 고장률. 이러한 낮은 고장률은 항상 전자 제어 시스템의 특수 구조를 필요로 합니다. 여기서 우리는 예상 수명이 아니라 장비의 의도된 작동 수명 동안 발생하는 무작위 고장을 언급하고 있다는 점에 유의하십시오. 예정된 시스템 수명 내에 마모 메커니즘이 알려진 부품은 계획된 유지 관리를 통해 관리할 수 있습니다.

제어 구조

드라이브와 관련된 대부분의 애플리케이션에서 고정 기계의 안전이 다루어지고 있으며 가장 일반적인 옵션은 안전 기능을 위해 2개의 독립적인 채널을 사용하는 것입니다. 구동 토크가 멈춥니다. 대부분의 기계에서 이것은 안전한 상태를 초래합니다. 드라이브 없이 중력에 의해 움직일 수 있는 호이스트와 같은 기계의 경우 드라이브 토크가 사라질 때 위험을 초래하지 않도록 조치를 취해야 합니다.

그림 1은 "둘 중 하나" 또는 1oo2 시스템이라고도 하는 기본 2채널 안전 시스템을 보여줍니다. 즉, 두 채널 중 하나가 중지를 요청하면 기계가 중지됩니다. 이것은 기계류 안전 제어 시스템의 가장 일반적인 배열입니다. 센서 또는 신호 컨디셔닝 프로세서의 오류는 안전 기능의 손실로 이어지지 않습니다. 그림 1은 기능 다이어그램일 뿐이며 출력의 "AND 게이트"는 단순한 논리 칩이 아닙니다. 논리 칩이 고장난 경우 단일 지점 고장 메커니즘이 도입되기 때문입니다. 드라이브의 2채널 STO 입력이거나 단일 장치의 일반적인 원인 오류가 제거되는 다른 방법일 수 있습니다.

회색으로 표시된 진단 기능은 일반적으로 지속적인 안전을 보장하는 데 필요합니다. 진단 기능이 없으면 한 채널의 오류로 인해 안전 기능이 실패하지 않더라도 안전하지 않은 채널에서 기계가 무기한 계속 작동할 수 있기 때문입니다. 상태. 두 번째 실패는 위험한 상태로 이어집니다.

그림 1:둘 중 하나의 제어 구조

소프트웨어/펌웨어

펌웨어 및 소프트웨어를 실행하는 임베디드 프로세서를 사용하면 기능 안전에 새로운 차원이 도입됩니다. 소프트웨어에는 무작위 오류가 없지만 복잡성으로 인해 모든 조건 및 이벤트 시퀀스에서 의도한 대로 작동하는지 확인하기 어렵습니다. 이것은 "블랙박스"로 전체 시스템을 테스트하여 증명할 수 없습니다. 소프트웨어는 코딩 오류를 방지하기 위해 취해진 조치와 함께 잘 정의된 언어로 작성되어야 하며, 매번 지정 및 테스트할 수 있는 모듈로 신중하게 구성되어야 합니다. 단계. 또한 모듈이 프로세서 시스템의 다른 활동에 의해 부정적인 영향을 받을 수 없음을 입증해야 하며, 이는 다른 비안전 코드가 동일한 프로세서에서 실행되는 경우 어렵습니다.

테스트 계획과 함께 명확하고 명확한 사양을 만들고 프로세스를 철저히 문서화하는 데 필요한 원칙은 코드 작성과 전체 시스템 설계 모두에 적용됩니다.

소프트웨어 품질에 대한 한 가지 중요한 제어는 "제한된 가변성 언어"(LVL)와 "완전한 가변성 언어"(FVL)를 구별하는 것입니다. LVL은 사전 승인된 모듈을 잘 정의된 기능으로 제한된 방식으로 구성하여 결과를 간단한 순차 테스트 프로그램으로 테스트할 수 있도록 제한됩니다. LVL은 C++ 등과 같은 FVL을 사용하여 생성되었을 것입니다. 이 FVL은 완전히 엄격한 설계 프로세스를 거친 후 LVL 프로그래머가 액세스할 수 없도록 잠겨 있었습니다.

소프트웨어를 쉽게 변경할 수 있다는 것은 무단 변경 방지를 포함하여 안전한 버전 관리 시스템을 마련해야 한다는 의미이기도 합니다.

드라이브 애플리케이션

간단한 시퀀스와 제어 출력에 대한 입력 조합으로 구성된 많은 안전 기능은 "안전 PLC"와 같이 하드웨어 오류 및 소프트웨어 오류로 인한 위험을 방지하기 위한 특수 기능을 사용하여 PLC에서 구현할 수 있습니다. 그러나 이러한 기능을 비용 효율적으로 구현하기 위해 드라이브가 특히 적합한 애플리케이션이 있습니다.

• 구동 방지 – 인버터 드라이브는 매우 높은 무결성으로 필요할 때 모터에서 발생하는 토크를 방지하는 안전 체인의 최종 링크에 적합한 고유한 기능을 가지고 있습니다. 이것은 STO(Safe Torque Off)로 정의됩니다.
• 토크, 가속도, 속도, 방향 또는 위치를 포함한 동작 범위를 절대값 또는 위치 증분과 같은 상대값으로 제한합니다. 드라이브는 이러한 변수를 제어하며 종종 정확하고 빠르게 응답하는 측정값을 갖습니다. 샤프트 또는 위치 인코더를 통해, 또는 모터 전압 및 전류의 동작을 관찰함으로써 가능합니다. 이러한 드라이브 관련 기능이 게이트 스위치 및 키 스위치와 같은 기계 센서의 입력에 대한 몇 가지 간단한 조합 및 순차 논리와 결합되면 다양한 종류의 안전 애플리케이션을 구현할 수 있습니다.

기계 제어 시스템의 안전 관련 부품에 대한 표준

안전 시스템 설계의 엄격한 관리 및 구현의 필요성은 관련 국제 표준이 복잡하고 밀도가 높다는 것을 의미합니다. 이 노트에서는 기계 안전과 가장 관련이 있는 표준의 몇 가지 주요 기능만 살펴보겠습니다.

국제 표준에는 ISO 또는 IEC가 접두사로 붙습니다. 유럽 ​​CENELEC 표준에는 EN이 접두사로 붙습니다. 여기에서 EN 버전을 살펴보겠습니다. 국제 형식은 접두사가 다른 동일한 번호를 사용합니다. EN 버전은 EC 기계류 지침에 대한 통일된 표준의 상태입니다.

EN ISO 12100 기계 위험 평가를 수행하여 필요한 경우 제어 시스템에 안전 기능을 할당하는 방법을 설명합니다. 이것은 안전 관련 제어 장치의 올바른 설계를 위한 필수적인 선구자이며 기계 설계자의 책임입니다.

EN 61800-5-2 파워 드라이브 시스템의 기능 안전에 대한 표준입니다. 안전 토크 오프(STO), 안전 제한 속도(SLS) 등과 같이 "지정된 안전 하위 기능"이라고 하는 드라이브에 특히 적합한 여러 기능[1]을 정의합니다. 완전한 안전 기능은 1(최저)에서 3까지의 값을 취할 수 있는 SIL에 의해 측정됩니다. 드라이브는 완전한 안전 관련 제어 시스템의 하위 시스템이므로 이를 "SIL 기능"이라고 합니다.

EN 62061 EN 61800-5-2와 동일한 SIL 메트릭을 사용하는 기계의 전기/전자/프로그래밍 가능한 제어 시스템에 대한 표준입니다.

EN ISO 13849-1 비전기 시스템을 포함한 기계의 제어 시스템에 대한 표준입니다. 다른 메트릭인 성능 수준(PL) 및 범주(B에서 4까지)를 사용합니다. 보충 표준 EN ISO 13849-2 어떤 결함이 고려되어야 하고 어떤 결함이 할인될 수 있는지에 대한 지침이 포함된 "검증"을 다룹니다("결함 제외").

안전 관련 전기/전자/프로그래밍 가능한 시스템의 많은 표준화의 기초는 EN 61508-입니다. # 시리즈, 파트 1 ~ 7. 이는 기계의 제어 시스템뿐만 아니라 모든 시스템을 포괄하기 때문에 그 자체로 통일된 표준이 아닙니다.

안전 무결성 수준

주어진 안전 기능에 필요한 SIL 또는 PL은 기능이 완화해야 하는 위험의 정도, 즉 가능한 부상의 확률과 심각성과 연결됩니다. 이를 결정하는 프로세스는 EN ISO 12100에 설명된 기계의 위험 평가로 시작됩니다. . 필요한 SIL 또는 PL을 도출하기 위한 규칙은 EN 62061에 나와 있습니다. 및 EN ISO 13849-1 .

인버터 드라이브의 안전 토크 오프(STO)

드라이브가 제공할 수 있는 가장 기본적인 안전 기능은 STO입니다. 인덕션 모터를 제어하는 ​​인버터 드라이브는 이 기능에 특히 적합합니다. 그 이유는 인버터 전력 스테이지가 모터에서 토크를 생성하기 위해 대부분의 전력 반도체에 대해 복잡하고 잘 제어된 PWM 스위칭 패턴으로 지속적으로 활성화되어야 하기 때문입니다. 그림 2는 인버터의 기본 전원 구조를 나타낸 것입니다.

그림 2:DC 링크 인버터의 기본 전원 구조

모터는 출력 단자에서 3상 전압 세트를 생성하는 복잡하고 잘 정의된 스위칭 패턴을 따르는 6개의 전력 트랜지스터에 의해서만 생성될 수 있는 토크를 생성하기 위해 회전 자기장이 필요합니다. 이 제어 패턴이 없는 경우 인버터에 대한 전원 공급이 DC이므로 토크를 유발할 수 있는 인버터 전원 회로에 결함이 없습니다. 최악의 오류는 그림 2의 빨간색 화살표와 같이 2개의 인버터 레그의 반대 극에 있는 2개의 트랜지스터가 의도하지 않게 전도되는 경우입니다. 이 경우 과전류 보호 체계가 작동할 때까지 제어되지 않은 높은 전류가 한 모터 위상에 흐를 것입니다. 또는 인버터가 파손되었습니다(입력 퓨즈 또는 차단기 소거). 이 중 어느 것도 회전 자기장을 제공하지 않으므로 생성된 토크가 없습니다.

영구 자석 또는 릴럭턴스 모터의 경우 이 최악의 오류는 보호 장치가 작동할 때까지 일시적인 정렬 토크를 유발합니다. 한계에서 모터는 PM 모터의 경우 1극 피치, 릴럭턴스 모터의 경우 1/2극 피치만큼 회전할 수 있습니다.

인버터 전력단과 드라이브 STO 제어 입력 사이의 인터페이스는 안전하지 않은 고장의 가능성을 매우 낮게 유지하도록 설계해야 합니다. 이는 복잡한 PWM 제어 패턴이 실수로 인버터 트랜지스터로 전달되었음을 의미합니다. 일반적으로 배열은 일종의 "페일 세이프" 기술을 사용하므로 인버터 자체에서와 마찬가지로 모든 종류의 구성 요소 오류로 인해 "활성화" 명령이 손실됩니다. STO 기능이 2채널 안전 컨트롤러에 쉽게 인터페이스될 수 있도록 2개의 독립 채널이 있을 수 있습니다.

고급 드라이브 안전 기능

다른 드라이브 지정 안전 기능의 대부분은 모터 전류 및/또는 속도 등과 같은 일부 데이터 분석이 필요합니다. 이는 일반적으로 마이크로컨트롤러에서 구현되며, 두 번째 컨트롤러는 다음과 같이 입력 및 출력 데이터와 프로세서 동작을 지속적으로 교차 확인합니다. 그림 3에 나와 있습니다. 항상 불일치가 감지되면 STO 기능을 통해 드라이브가 비활성화됩니다.

교차 검사를 통해 두 개의 채널을 사용하여 위험한 방향의 하드웨어 오류 가능성을 허용 가능한 수준으로 줄입니다. 스위치와 같은 입력 장치는 단순한 "stuck at" 오류를 감지할 수 있도록 복제되며 다양한 전기 펄스가 공급되어 채널 간의 보다 미묘한 스니크 오류를 감지할 수 있습니다. 기본 증분 샤프트 엔코더에는 대부분의 오류를 감지할 수 있는 유용한 고유 기능이 있습니다. 두 펄스 트랙에는 90° 위상 편이가 있어 대부분의 오류가 감지할 수 있는 불가능한 펄스 시퀀스를 초래하기 때문입니다. 디지털 출력은 의도적으로 하이(true) 논리 상태로 유지된 출력이 여전히 로우로 갈 수 있는지 테스트하는 일반 테스트 펄스에 의해 확인됩니다(때로는 OSSD 출력이라고도 함).

시스템적 결함, 즉 설계에 내재된 결함의 가능성은 안전 기능에 대한 정확한 요구사항을 정의하고 구현, 테스트 및 문서화를 추적하는 가장 엄격한 프로세스를 통해 허용 가능한 수준으로 감소됩니다.

완전한 기계 및 안전 구성 요소

모든 개별 애플리케이션에 대해 안전 기능을 지정하고 추적하는 엄격한 프로세스를 따라야 하며 이에 대한 궁극적인 책임은 기계 설계자에게 있습니다. 기능 안전 기능이 있는 드라이브가 설계의 일부로 사용되는 경우 해당 드라이브는 안전 구성 요소가 되며 자체 안전 요구 사항 사양 및 인증이 전체 시스템 문서의 일부가 됩니다.

유럽 ​​연합 내에서 이 요구 사항은 기계류 지침 2006/42/EC의 형태로 법률에 포함되어 있으며, 여기에는 별도로 시장에 출시되는 안전 구성 요소에 대한 정의와 요구 사항이 포함됩니다. 실제로 이것은 일반적으로 안전 기능이 있는 드라이브가 기계의 안전 관련 제어 시스템에서 사용할 수 있도록 독립적인 정부 승인 인증 기관에서 발행한 EC 유형 검사 인증서와 함께 제공됨을 의미합니다. STO 기능이 표준으로 내장되어 있어 안전 구성 요소로 사용되거나 사용되지 않을 수 있는 경우 드라이브에는 기계 지침 및 저전압 지침에 따라 두 개의 별도 EC 제조업체 선언이 있어야 합니다.