Come rilevare in sicurezza un sensore della macchina scollegato

Un sensore scollegato non è automaticamente distinguibile da uno stato OFF legittimo. In un ingresso convenzionale normalmente aperto, un obiettivo assente, un conduttore interrotto, la perdita di alimentazione del sensore e un connettore rimosso possono produrre tutti lo stesso zero. La risposta corretta inizia definendo cosa fa il sensore e quale rischio esiste se quello zero viene accettato come stato normale.

Un cablaggio che rende visibili i guasti migliora la diagnosi, ma la protezione del personale dipende dall’intera funzione di sicurezza convalidata.

Separare la diagnostica del processo dalla sicurezza funzionale

Un sensore di processo può rilevare un pezzo, il livello di un serbatoio, la posizione di un cilindro o un inceppamento del trasportatore. Se il suo cavo si interrompe, la risposta appropriata potrebbe essere un allarme di manutenzione, l’inibizione del ciclo o un arresto controllato. Un dispositivo di protezione, come un riparo interbloccato, una barriera fotoelettrica o un arresto di emergenza, appartiene a una funzione di sicurezza derivata dalla valutazione dei rischi della macchina. La sua architettura, la copertura diagnostica, il tempo di risposta, il comportamento al reset e la verifica devono soddisfare le prestazioni di sicurezza richieste.

Un ingresso PLC standard può fornire informazioni preziose per la manutenzione, ma definire la sua logica «di sicurezza» non gli conferisce una tolleranza ai guasti certificata. Le decisioni protettive devono essere prese da dispositivi e logiche di sicurezza adeguati. Il controllo standard può ricevere lo stato diagnostico per messaggi, registrazioni temporali e ricerca guasti, senza diventare l’unico elemento che elimina il movimento pericoloso.

Le categorie hardware pertinenti possono essere consultate nella raccolta Sensori del sito e nei sistemi PLC e PAC, ma il dispositivo selezionato, il modulo di ingresso e il metodo di cablaggio devono essere convalidati come un’unica applicazione.

Scegliere un circuito il cui stato normale sia osservabile

Un contatto normalmente chiuso è percorso da corrente nel suo stato normale di riposo, quindi un conduttore interrotto tende a far disattivare l’ingresso. Questo rivela i guasti meglio di un circuito normalmente aperto, ma non costituisce una protezione completa. Un cortocircuito ai capi del contatto può mantenere il segnale attivo, un conduttore comune può compromettere più canali e il software può gestire in modo errato la transizione.

I moderni dispositivi di protezione elettrosensibili utilizzano comunemente due uscite a semiconduttore monitorate, spesso chiamate canali OSSD. Un controllore di sicurezza compatibile valuta entrambi i canali, inclusi i relativi tempi e comportamenti di test. I dispositivi elettromeccanici per ripari possono utilizzare contatti ad apertura forzata in una configurazione a doppio canale. Il punto non è semplicemente avere «due fili», ma rilevare i guasti in modo indipendente, garantire un comportamento di test controllato e definire una risposta sicura.

Capire cosa misura realmente un ingresso con rilevamento del conduttore interrotto

I moduli di ingresso diagnostici possono distinguere un conduttore interrotto aspettandosi una piccola corrente anche quando il contatto sul campo è aperto. Il manuale attuale di Rockwell Automation per gli I/O digitali ControlLogix afferma che il rilevamento del conduttore interrotto verifica il cablaggio sul campo e richiede una corrente di dispersione minima. Per un ingresso a contatto, una resistenza di dispersione viene collegata in parallelo al contatto, così il modulo si aspetta corrente durante lo stato logico OFF. La perdita di questa corrente genera un guasto a livello del punto.

Il modello 1756-IB16D è un modulo di ingresso diagnostico in corrente continua da 10–30 V. Le informazioni di cablaggio pubblicate ne specificano i valori della resistenza di dispersione in base alla tensione di alimentazione, inclusi 15 kΩ a 24 V DC. Questi valori sono dati ingegneristici specifici del dispositivo, non una soluzione universale. Le soglie dell’ingresso, la tolleranza e la potenza nominale della resistenza, la corrente di dispersione nello stato OFF del sensore, gli indicatori del modulo di interfaccia e le variazioni dell’alimentazione influenzano tutti la finestra diagnostica.

Una corrente di dispersione troppo bassa può far apparire un contatto aperto funzionante come un conduttore interrotto. Una corrente eccessiva può mantenere attivo l’ingresso, generare calore o mascherare un altro guasto. Anche le spie e i moduli di interfaccia possono modificare la corrente nello stato OFF. Utilizzare il manuale esatto della serie di moduli, calcolare la corrente e la dissipazione nelle condizioni peggiori e testare il circuito sul campo assemblato alla tensione di alimentazione minima e massima.

Progettare i percorsi di alimentazione e ritorno per la diagnosi

La diagnostica di un singolo punto non riesce sempre a distinguere un conduttore di segnale interrotto dalla perdita del ritorno comune o dell’alimentazione sul campo. Se un gruppo di ingressi segnala contemporaneamente guasti di conduttore interrotto, esaminare l’alimentazione e il ritorno condivisi prima di sostituire più sensori. Monitorare, quando possibile, l’alimentazione sul campo e raggruppare i canali in modo che una perdita comune non crei uno stato ambiguo della macchina.

I sensori di prossimità e fotoelettrici a tre fili aggiungono un’altra modalità di guasto: il conduttore di uscita può essere integro mentre manca l’alimentazione del sensore. Utilizzare la diagnostica del dispositivo, uno stato ausiliario, il monitoraggio della corrente o un’architettura di ingresso che renda evidente la perdita di alimentazione. Per i sensori intelligenti collegati in rete, lo stato della comunicazione può fornire ulteriori informazioni, ma non deve sostituire silenziosamente il percorso protettivo cablato, a meno che la funzione di sicurezza in rete non sia stata progettata e convalidata specificamente a tale scopo.

Definire un comportamento deterministico in caso di guasto

Per ogni segnale, documentare la risposta sicura o controllata a conduttore interrotto, cortocircuito, discrepanza tra i canali, perdita dell’alimentazione sul campo, dati di rete obsoleti e guasto interno del dispositivo. Un ingresso di processo può memorizzare un allarme e impedire il ciclo automatico successivo. Un ingresso di sicurezza deve attivare la funzione di sicurezza definita entro il tempo di risposta consentito.

Non lasciare che un debounce generico o un ritardo dell’allarme nascondano il guasto. Il filtraggio può essere appropriato per il rimbalzo dei contatti o il rumore elettrico, ma il ritardo deve essere inferiore a quello consentito dal rischio del processo. Registrare separatamente i bit diagnostici grezzi dallo stato di processo condizionato, così il personale di manutenzione può vedere perché la macchina si è arrestata.

Anche il ripristino è importante. Il ricollegamento di un sensore non deve causare un riavvio imprevisto. Richiedere le condizioni di reset definite dalla valutazione dei rischi, verificare che l’area pericolosa sia libera e separare il riconoscimento del guasto dal comando che avvia il movimento.

Collaudare il circuito installato

La verifica di uno schema non può dimostrare il comportamento sul campo. Durante la messa in servizio, testare l’azionamento normale e poi scollegare il sensore sia sul dispositivo sia sui connettori intermedi. Interrompere singolarmente ogni conduttore, rimuovere l’alimentazione sul campo, interrompere il ritorno comune e creare i casi di discrepanza tra i canali consentiti dalla procedura di test del produttore. Verificare che il controllore identifichi il punto previsto e che la risposta della macchina corrisponda ai requisiti di sicurezza.

Quando si utilizzano due canali, testare un canale alla volta, il rilevamento dei guasti incrociati come specificato, i tempi di discrepanza, il reset e l’inibizione del riavvio. Registrare il tempo effettivo di arresto se contribuisce alla distanza di sicurezza. Dopo la manutenzione o la sostituzione di un dispositivo, ripetere i test di convalida pertinenti invece di presumere che una piedinatura identica dei connettori garantisca un comportamento identico.

Mantenere la copertura diagnostica per tutta la vita della macchina

Le modifiche a morsettiere, moduli indicatori, lunghezza dei cavi, schede di ingresso, tipi di sensore o configurazione del controllore di sicurezza possono spostare la finestra di corrente o alterare i tempi diagnostici. Sottoporre questi elementi a controllo delle modifiche. Esaminare periodicamente i registri diagnostici alla ricerca di eventi intermittenti di conduttore interrotto: spesso rivelano portacavi danneggiati, morsetti allentati, contaminazione o connettori deteriorati prima di un arresto definitivo.

Il confine ingegneristico è chiaro: il rilevamento del conduttore interrotto è un’eccellente funzione di manutenibilità e può contribuire al rilevamento dei guasti, ma da solo non costituisce una funzione di sicurezza completa. Le macchine affidabili rendono visibile ogni guasto, gli assegnano una risposta deterministica e verificano tale risposta sul dispositivo reale installato sul campo.