Пределы соответствия для сброса по Ethernet и контроля состояния ПЛК для устройств безопасности

Неприятная правда о мониторинге состояния ПЛК

Контроль состояния ПЛК - это не то же самое, что контроль безопасности. Это видимость. Это диагностика. Это способ узнать, чиста ли световая завеса безопасности, заблокирована ли она, неисправна, отключена, готова к сбросу или требует обслуживания, прежде чем начальник линии начнет обвинять “проблемы с датчиком”.”

Это опасно.

Опасно, когда на предприятии спокойно относятся к обычному входу ПЛК, кнопке сброса HMI или стандартной диагностической метке EtherNet/IP, считая, что они имеют такой же юридический вес, как и защитная цепь останова, проверенный функциональный блок защитного ПЛК или правильно установленная блокировка повторного запуска. Почему так много заводов до сих пор совершают эту ошибку?

Потому что время работы соблазняет людей.

Я придерживаюсь жесткого мнения: многие установки “умной безопасности” на самом деле являются просто старыми схемами безопасности с более красивыми экранами. HMI выглядит современно. На приборной панели есть зеленые значки. Команда технического обслуживания может видеть состояние устройства из диспетчерской. Но если путь сброса, реакция на неисправность и логика перезапуска не встроены в архитектуру, отвечающую требованиям безопасности, система не становится умнее. Ее просто легче неправильно понять.

Собственные данные OSHA управление устройством, определяющим присутствие говорит, что световые завесы должны останавливать машину при прерывании поля срабатывания, должны предотвращать следующий ход после определенных сбоев и не должны оставлять незащищенных точек входа вокруг опасности. Вот это и есть реальный разговор о соответствии, а не то, может ли ПЛК отображать “LC_CLEAR = 1”.”

Если вы выбираете оборудование, начните с самого защитного устройства, а не с приборной панели. A ассортимент световых завес безопасности обеспечивает физический уровень защиты; мониторинг состояния ПЛК сообщает только о том, что делает этот уровень.

Сброс Ethernet звучит эффективно. Но может выглядеть ужасно после травмы

Сброс Ethernet - одна из тех функций, которые звучат на совещании вполне безобидно. “Можем ли мы сбросить устройство безопасности с помощью HMI?” “Может ли техническое обслуживание устранить неисправность световой завесы через EtherNet/IP?” “Может ли супервайзер сбросить лидар безопасности с центральной панели?”

Технически, возможно.

С юридической и практической точки зрения, притормозите.

Я бы провел простую линию: Ethernet может быть приемлем для диагностики, контролируемых запросов на сброс, регистрации событий и конфигурирования устройств в контролируемых условиях, но он не должен становиться случайным путем удаленного перезапуска для опасного движения. Сброс - это не запуск. Сброс - это не разрешение на движение. Сброс не является волшебным ластиком для заблокированного охранника, сработавшей блокировки или человека, все еще стоящего в защищенной зоне.

ODVA описывает CIP Safety как систему, обеспечивающую отказоустойчивую связь между блоками ввода/вывода безопасности, световыми завесами безопасности, выключателями блокировки безопасности и контроллерами безопасности с поддержкой уровня SIL 3 по IEC 61508. В нем также объясняется, что CIP Safety использует временные метки безопасности, идентификаторы, методы CRC/контрольных сумм, избыточность и защиту идентификации безопасности на уровне устройств, а не слепо доверяет обычному сетевому трафику. Это различие имеет значение. Стандартный обмен сообщениями в сети Ethernet и сетевой обмен данными с учетом требований безопасности - это не одно и то же животное.

Поэтому я использую следующее внутреннее правило: если сигнал Ethernet только сообщает вам о состоянии, ему место в мониторинге. Если сигнал Ethernet может снять защитный стоп, включить движение или изменить поведение при повторном запуске, ему место в документированном файле проверки безопасности.

И да, этому файлу лучше пережить враждебную проверку.

Граница соответствия: что может и чего не может сделать мониторинг ПЛК

Контроль состояния ПЛК лучше всего работает, когда к нему относятся как к свидетелю, а не как к судье.

Стандартный ПЛК может собирать полезные сигналы с устройств безопасности: вспомогательные выходы, обратная связь по состоянию OSSD, состояние EDM, индикаторы отключения, условия обхода, обратная связь с реле безопасности, состояние запроса сброса, коды неисправностей и состояние связи. Эти данные - золото для сокращения времени простоя. Они помогают при техническом обслуживании обнаружить загрязненные линзы, неисправности кабеля, смещение юстировки, нестабильные отражатели, неправильную синхронизацию отключения звука и неприятные срабатывания.

Но у него есть свои пределы.

Функция	Обычно допустимо с помощью стандартного мониторинга ПЛК	Требуется разработка / валидация с учетом требований безопасности	Почему это важно
Отображение состояния блокировки/очистки световой завесы	Да	Нет, если только для чтения	Полезно для диагностики и руководства оператора
Регистрация неисправностей защитных устройств с указанием времени	Да	Нет, если только для чтения	Помогает подтвердить историю технического обслуживания
Отображение состояния готовности к сбросу на экране HMI	Да	Зависит от архитектуры	Дисплей не имеет функции сброса
Отправка команды удаленного сброса Ethernet	Рискованный	Часто да	Сброс может повлиять на опасное поведение при перезапуске
Остановка опасного движения	Нет	Да	Для защиты персонала необходимо использовать безопасные средства управления
Мониторинг обратной связи с внешним устройством / EDM	Может быть,	Да, если является частью функции безопасности	Контакторы могут свариваться; необходимо правильно управлять обратной связью
Изменение зон безопасности или логики отключения звука по сети	Рискованный	Да	Изменения конфигурации влияют на защитную функцию
Перезапустите машину после срабатывания защитного устройства	Нет	Да	Автоматический перезапуск после получения доступа может быть смертельно опасен

Лучший инженерный ход - разделить систему на два слоя. Уровень безопасности предотвращает опасность. Слой мониторинга объясняет, что произошло. Когда эти два слоя размываются, расследования становятся ужасными.

Именно поэтому модели с реальными функциями безопасности имеют большое значение. Например. Высокоточный световой занавес безопасности с поддержкой EDM является более серьезной отправной точкой, чем обычный фотоэлектрический датчик, подключенный к обычной плате ввода. То же самое относится и к тем случаям, когда проект требует специальных размеров, двойного выхода или статуса, связанного с ПЛК. Нестандартная световая завеса с поддержкой ПЛК имеет больше смысла, чем вставлять стандартный датчик в странную рамку машины.

Файлы происшествий не заботятся о вашей приборной панели

Здесь разговор становится менее комфортным.

В 2024 финансовом году OSHA включило охрану станков в соответствии с 29 CFR 1910.212 в число 10 наиболее часто цитируемых стандартов. OSHA также сообщило о 34 696 федеральных инспекциях в 2024 финансовом году и отметило, что агентство и партнеры из штатов охватывают около 130 миллионов работников на более чем 8 миллионах рабочих мест. Другими словами, правоприменительная практика невелика, но когда что-то идет не так, бумажный след становится очень громким.

По данным Бюро статистики труда США, в 2024 году на производстве произойдет 5 070 смертельных травм по сравнению с 5 283 в 2023 году, при этом каждые 104 минуты один работник погибает от производственной травмы. Это статистика не только по охране машин, но это фон, о котором должен помнить каждый руководитель предприятия, прежде чем одобрять короткие пути, обходящие логику сброса безопасности.

Посмотрите на дела.

В сентябре 2024 года OSHA заявило. Хайлианг Коппер Техас столкнулся с $253K в предлагаемых штрафах после того, как рабочий получил частичную ампутацию руки, пытаясь убрать мусор рядом с оборудованием для намотки меди. OSHA заявило, что на заводе не были установлены необходимые защитные или блокирующие устройства, в результате чего рабочие подвергались опасному контакту с движущимися частями оборудования.

В декабре 2024 года Министерство труда заявило. G&S Metal Products столкнулся с $182K в штрабах после того, как двое рабочих получили ампутации в результате отдельных инцидентов с прессами. Один пресс неожиданно сработал во время технического обслуживания, другой закрылся без предупреждения во время уборки металлолома. OSHA указала на недостаточное ограждение, отсутствие блокировки и тагаута, а также слабую подготовку по технике безопасности.

В апреле 2024 года Министерство труда заявило. Компании Faurecia Emissions Control Systems грозит более $300K предлагаемых штрафов после того, как 26-летний рабочий был смертельно раздавлен вблизи оборудования, изгибающего выхлопные трубы автомобилей. OSHA заявила, что надлежащее ограждение оборудования и процедуры блокировки и тагаута могли бы предотвратить трагедию.

Ни один инспектор не будет впечатлен глянцевым экраном HMI, если опасное движение может возобновиться из неправильного места, в неправильное время, без проверенного четкого обзора защищенной зоны.

Где мониторинг устройств безопасности Ethernet/IP действительно помогает

Я не против сети. Я против фэнтези.

Мониторинг устройств безопасности EtherNet/IP может быть превосходным, если используется для правильных задач: диагностика безопасности машины, состояние устройства, статус зоны, локализация неисправностей, свидетельства технического обслуживания, индикация готовности к перезапуску и доказательство того, что требование безопасности возникло в 14:03:22, а не “где-то перед обедом”.”

Именно в этом случае мониторинг состояния ПЛК приносит свои плоды.

Хорошая архитектура мониторинга должна показывать:

• Название, местоположение и зона установки защитного устройства
• Состояние OSSD или состояние безопасного выхода
• Сброс состояния запроса
• Перезапуск состояния блокировки
• Состояние обратной связи EDM
• Активное отключение звука, неисправность отключения звука или активный байпас
• Код неисправности и временная метка
• Режим контроллера безопасности
• Последнее требование безопасности
• Здоровье сети, если используется безопасная связь
• История переопределений при обслуживании, если такие переопределения вообще существуют

Но при проектировании должна быть четко прописана одна вещь: контролирующий ПЛК не имеет права молчаливо снижать уровень безопасности.

Если вы все еще не выбрали тип защитного устройства, прочтите руководства по выбору предохранительных устройств прежде чем подключать что-либо. Для больших ячеек, конвейеров и мобильных зон автоматизации, лидары безопасности может быть более подходящим, чем неподвижная световая завеса. Для обратной связи по положению металлической мишени датчик приближения может поддерживать диагностику, но его не следует принимать за устройство защиты персонала, если для этого не предусмотрена полная функция безопасности.

Проблема перезагрузки, которую никто не хочет решать

Перезагрузка дизайна быстро выявляет слабые инженерные решения.

Если работник открывает ограждение, разрывает световую завесу, заходит в ячейку робота или в зону пресса, машина не должна перезапускаться только потому, что сигнал снова становится четким. Это кажется очевидным. Тем не менее на предприятиях по-прежнему создаются системы, в которых очистка луча, нажатие кнопки подтверждения HMI или включение сетевого бита создает цепочку перезапуска, которую никто не проверял до конца.

Но есть и более сложный вопрос: сброс местоположения.

Кнопка сброса обычно должна быть расположена так, чтобы оператор мог убедиться, что опасная зона свободна, прежде чем сбросить функцию безопасности. Удаленный сброс через Ethernet из диспетчерской может быть удобен, но может ли этот человек видеть за прессом? Видит ли он внутри огражденной ячейки? Видит ли он слепую зону подачи паллетайзера? Видит ли он техника по техническому обслуживанию, приседающего рядом с затором?

Если нет, то почему им разрешено сбрасывать его?

Для планирования соблюдения требований используйте раздел стандартов безопасности машин в качестве отправной точки, затем задокументируйте фактическую оценку рисков машины, время остановки, безопасное расстояние, место сброса, целевой уровень производительности, метод проверки и схему подключения. Не позволяйте команде закупщиков сводить проект к “нам нужен Ethernet и состояние ПЛК”.”

Эта фраза слишком мала для такого риска.

Практичная архитектура, которую я действительно буду защищать

Вот архитектура пылесоса, которую я буду защищать перед менеджером по безопасности, OEM-заказчиком или следователем.

Защитный слой

Для защиты персонала используйте устройства и логику, отвечающие требованиям безопасности. К ним могут относиться световые завесы безопасности типа 4, реле безопасности, ПЛК безопасности, двухканальные входы, EDM, безопасное отключение крутящего момента, блокируемые ограждения, коврики безопасности, лидары безопасности и проверенные функциональные блоки безопасности.

Слой мониторинга

Используйте стандартный уровень ПЛК, HMI, SCADA или MES для видимости только для чтения. Показывать состояние. Сохранять события. Предупреждение о необходимости обслуживания. Отслеживать нежелательные срабатывания. Отслеживание частоты сброса. Определите зоны с повторяющимся доступом. Но не позволяйте этому уровню стать авторитетом для безопасной остановки или перезапуска.

Сброс слоя

Используйте метод сброса, соответствующий оценке рисков. Местный жесткий сброс часто является более чистым. Сброс защитного ПЛК может быть приемлемым, если он подтвержден. Сброс по Ethernet должен рассматриваться как исключение, а не по умолчанию, особенно если видимость опасной зоны неполная.

Слой документации

Сохраните доказательства. Чертежи электропроводки. Описания функций безопасности. Измерения времени остановки. Расчеты безопасного расстояния. Оценка SISTEMA или эквивалентная оценка, если применимо. Протоколы валидационных испытаний. Журналы изменений. Правила разрешения HMI. Политика паролей. Записи авторизации обхода.

Завод, который хорошо документирует это, выглядит профессионально. Завод, который не может объяснить, кто, откуда и при каких условиях может сбросить что-либо, выглядит безрассудно.

Вопросы и ответы

Что такое контроль состояния ПЛК для устройств безопасности?

Мониторинг состояния ПЛК - это использование входов контроллера, меток безопасности, диагностических битов и состояний HMI для наблюдения за тем, исправны ли устройства безопасности, такие как световые завесы, блокировки, коврики безопасности и лидарные сканеры, блокированы, готовы к сбросу, неисправны, отключены, обойдены или активно требуют остановки. Она должна улучшать диагностику, а не заменять систему управления безопасностью.

С практической точки зрения мониторинг состояния ПЛК помогает специалистам по техническому обслуживанию и эксплуатации понять причину остановки машины. Это позволяет сократить время простоя, выявить повторяющиеся неприятные срабатывания и повысить эффективность поиска и устранения неисправностей. Но сама функция остановки все равно должна выполняться с помощью оборудования, отвечающего требованиям безопасности, проверенной логики и документированного поведения при сбросе.

Может ли Ethernet-сброс соответствовать требованиям для устройств безопасности?

Сброс через Ethernet - это сетевая команда сброса, передаваемая через ЧМИ, ПЛК, контроллер безопасности или промышленный протокол, и она может считаться совместимой только в том случае, если оценка рисков, архитектура с учетом требований безопасности, место сброса, предотвращение повторного запуска, запись о проверке и применимые стандарты на оборудование поддерживают этот метод. Он не является автоматически безопасным, поскольку является цифровым.

Самый большой риск - удаленный сброс без видимости. Если человек, сбрасывающий систему, не может убедиться, что в опасной зоне никого нет, значит, конструкция слаба. Сброс должен восстанавливать готовность; он не должен создавать неожиданные движения или скрывать небезопасное состояние за зеленым значком HMI.

Почему стандартный контроль состояния ПЛК недостаточен для обеспечения безопасности оборудования?

Стандартный мониторинг состояния ПЛК не является функцией безопасности, поскольку обычные входы, сообщения Ethernet, биты HMI и лестничные метки обычно не разработаны, не сертифицированы и не утверждены для обеспечения отказоустойчивости, диагностического покрытия, детерминированной реакции и поведения при перезапуске, необходимых для защиты персонала. Мониторинг может информировать людей, но нельзя считать, что он защищает их.

Это не делает ПЛК бесполезным. Это означает, что ПЛК должен играть правильную роль. Пусть он собирает события, отображает состояние устройства и предупреждает о необходимости обслуживания. Пусть защитное реле, ПЛК безопасности, контроллер безопасности или проверенная сеть безопасности выполняют защитную функцию.

Как инженеры должны контролировать устройства безопасности с помощью ПЛК, не создавая при этом риска для соблюдения нормативных требований?

Безопасный мониторинг ПЛК означает разделение логики останова, отвечающей требованиям безопасности, и диагностики, не отвечающей требованиям безопасности, а также использование утвержденных вспомогательных выходов, битов состояния контроллера безопасности, журналов событий и индикаторов HMI, доступных только для чтения, для сообщения о состоянии устройства, не позволяя обычным командам Ethernet нарушать, сбрасывать или перезапускать защитные функции. Граница должна быть преднамеренной, документированной и проверенной.

Хорошее правило простое: читайте статус свободно, пишите команды осторожно. Любая команда, изменяющая состояние сброса, состояние отключения звука, состояние обхода, конфигурацию зоны или разрешение на перезапуск, заслуживает рассмотрения с точки зрения безопасности. Если функция влияет на возможность возникновения опасного движения, рассматривайте ее как часть системы безопасности.

Что необходимо проверить перед добавлением логики соответствия цепи безопасности сброса ПЛК?

Соответствие схемы безопасности сброса ПЛК означает, что конструкция сброса должна быть рассмотрена с точки зрения оценки риска оборудования, места сброса, видимости опасной зоны, требований к ручному сбросу, предотвращения повторного запуска, структуры входа с безопасными параметрами, обратной связи EDM, обработки ошибок, контроля доступа и записей о проверке. Схема сброса - это не просто кнопка; это контролируемое безопасное поведение.

Прежде чем утвердить его, протестируйте реальные режимы отказа. Задержите сброс. Сломайте световую завесу. Имитируйте заваренный контактор. Обрыв сетевой связи. Отключите питание контроллера безопасности. Попробуйте выполнить сброс с неправильного экрана. Если машина по-прежнему ведет себя предсказуемо и безопасно, значит, вы приблизились к надежной конструкции.

Ваши дальнейшие действия

Не покупайте функцию “Ethernet reset”, пока не узнаете, что именно она сбрасывает, кто может ее запустить, где они стоят, что могут видеть и остается ли функция безопасности действительной после команды.

Для нового или модернизированного оборудования начните с определения опасности, безопасного расстояния, типа защитного устройства, структуры выхода, метода сброса и потребностей в мониторинге. Затем подберите продукт в соответствии с риском. Если применение предполагает нестандартные размеры, диагностику с помощью ПЛК, EDM, двойные выходы, жесткие условия эксплуатации или многосторонний доступ, отправьте схему машины, требуемую высоту защиты, разрешение, диапазон срабатывания, тип выхода, напряжение, требования к кабелю, целевой рынок и ожидания сброса через Страница запроса котировок занавеса безопасности.