Limity zgodności dla resetowania przez Ethernet i monitorowania stanu PLC urządzeń bezpieczeństwa

Brzydka prawda o monitorowaniu stanu sterowników PLC

Monitorowanie stanu sterownika PLC to nie to samo, co kontrola bezpieczeństwa. Jest to widoczność. To diagnostyka. Jest to sposób na sprawdzenie, czy kurtyna świetlna bezpieczeństwa jest czysta, zablokowana, uszkodzona, wyciszona, gotowa do zresetowania lub wymaga konserwacji, zanim kierownik linii zacznie obwiniać “problemy z czujnikiem”.”

To niebezpieczne.

Staje się to niebezpieczne, gdy zakład po cichu traktuje zwykłe wejście PLC, przycisk resetowania HMI lub standardowy znacznik diagnostyczny EtherNet/IP tak, jakby miały taką samą wagę prawną jak obwód zatrzymania bezpieczeństwa, zweryfikowany blok funkcyjny bezpieczeństwa PLC lub prawidłowo zastosowana blokada ponownego uruchomienia. Dlaczego tak wiele fabryk wciąż popełnia ten błąd?

Ponieważ czas pracy uwodzi ludzi.

Mam tutaj twardą opinię: wiele instalacji “inteligentnego bezpieczeństwa” to tak naprawdę tylko stare obwody bezpieczeństwa z ładniejszymi ekranami. HMI wygląda nowocześnie. Deska rozdzielcza ma zielone ikony. Zespół konserwacyjny może zobaczyć stan urządzenia z pokoju kontrolnego. Ale jeśli ścieżka resetowania, reakcja na błędy i logika restartu nie są wbudowane w architekturę bezpieczeństwa, system nie jest inteligentniejszy. Po prostu łatwiej go źle zrozumieć.

Własne OSHA prowadzenie urządzenia wykrywającego obecność mówi, że kurtyny świetlne muszą zatrzymać maszynę, gdy pole wykrywania zostanie przerwane, muszą zapobiegać następnemu skokowi po pewnych awariach i nie mogą pozostawiać niezabezpieczonych punktów wejścia wokół zagrożenia. To jest prawdziwa rozmowa na temat zgodności, a nie to, czy sterownik PLC może wyświetlić “LC_CLEAR = 1”.”

Jeśli teraz wybierasz sprzęt, zacznij od faktycznego urządzenia zabezpieczającego, a nie od pulpitu nawigacyjnego. A Gama produktów kurtyn świetlnych bezpieczeństwa zapewnia fizyczną warstwę ochrony; monitorowanie stanu PLC informuje tylko o tym, co robi ta warstwa.

Reset Ethernet brzmi efektywnie. Może też wyglądać okropnie po kontuzji

Reset Ethernet to jedna z tych funkcji, które brzmią nieszkodliwie podczas spotkania. “Czy możemy zresetować urządzenie bezpieczeństwa z panelu HMI?” “Czy konserwacja może usunąć usterkę kurtyny świetlnej przez sieć EtherNet/IP?” “Czy przełożony może zresetować lidar bezpieczeństwa z panelu centralnego?”

Technicznie rzecz biorąc, może.

Z prawnego i praktycznego punktu widzenia, zwolnij.

Granica, którą bym wyznaczył, jest prosta: Ethernet może być akceptowalny do diagnostyki, nadzorowanych żądań resetu, rejestrowania zdarzeń i konfiguracji urządzenia w kontrolowanych warunkach, ale nie powinien stać się przypadkową ścieżką zdalnego restartu dla niebezpiecznego ruchu. Reset to nie start. Reset to nie pozwolenie na ruch. Reset nie jest magicznym kasowaniem zablokowanej osłony, uszkodzonej blokady lub osoby nadal stojącej w strefie chronionej.

ODVA opisuje CIP Safety jako system zapewniający niezawodną komunikację między blokami we/wy bezpieczeństwa, kurtynami świetlnymi bezpieczeństwa, przełącznikami blokady bezpieczeństwa i sterownikami bezpieczeństwa, z obsługą do SIL 3 zgodnie z IEC 61508. Wyjaśnia również, że CIP Safety wykorzystuje znaczniki czasu bezpieczeństwa, identyfikatory, metody CRC / sumy kontrolnej, redundancję i zabezpieczenia tożsamości bezpieczeństwa na poziomie urządzenia, zamiast ślepo ufać zwykłemu ruchowi sieciowemu. To rozróżnienie ma znaczenie. Standardowa komunikacja Ethernet i komunikacja sieciowa zgodna z wymogami bezpieczeństwa to nie to samo.

Oto zasada, której używam: jeśli sygnał Ethernet informuje tylko o statusie, należy do monitorowania. Jeśli sygnał Ethernet może wyczyścić zatrzymanie bezpieczeństwa, włączyć ruch lub zmienić zachowanie restartu, należy do udokumentowanego pliku walidacji bezpieczeństwa.

I tak, ten plik powinien przetrwać wrogą recenzję.

Granica zgodności: co może, a czego nie może robić monitorowanie PLC

Monitorowanie stanu PLC działa najlepiej, gdy jest traktowane jako świadek, a nie sędzia.

Standardowy sterownik PLC może zbierać przydatne sygnały z urządzeń bezpieczeństwa: wyjścia pomocnicze, informacje zwrotne o stanie OSSD, status EDM, wskaźniki mutingu, warunki obejścia, informacje zwrotne przekaźnika bezpieczeństwa, stan żądania resetu, kody błędów i stan komunikacji. Dane te są na wagę złota, jeśli chodzi o redukcję przestojów. Pomagają one konserwatorom znaleźć zabrudzone soczewki, usterki kabli, dryft wyrównania, niestabilne reflektory, nieprawidłowy czas mutingu i uciążliwe wyłączenia.

Ma to jednak swoje ograniczenia.

Funkcja	Zwykle akceptowalne przez standardowe monitorowanie PLC	Wymaga bezpiecznego projektu / walidacji	Dlaczego to ma znaczenie
Wyświetlanie stanu zablokowania/wyczyszczenia kurtyny świetlnej	Tak	Nie, jeśli tylko do odczytu	Przydatne do diagnostyki i wskazówek dla operatora
Rejestrowanie usterek urządzeń bezpieczeństwa ze znacznikiem czasu	Tak	Nie, jeśli tylko do odczytu	Pomaga udowodnić historię konserwacji
Wyświetlanie stanu gotowości do resetu na interfejsie HMI	Tak	Zależy od architektury	Wyświetlacz nie jest funkcją resetowania
Wyślij polecenie zdalnego resetowania sieci Ethernet	Ryzykowne	Często tak	Reset może wpłynąć na niebezpieczne zachowanie podczas restartu
Zatrzymanie niebezpiecznego ruchu	Nie	Tak	Ochrona personelu musi wykorzystywać kontrolę bezpieczeństwa
Monitorowanie informacji zwrotnych z urządzeń zewnętrznych / EDM	Może	Tak, jeśli jest częścią funkcji bezpieczeństwa	Styczniki mogą się spawać; sprzężenie zwrotne musi być obsługiwane prawidłowo
Modyfikowanie stref bezpieczeństwa lub logiki wyciszania przez sieć	Ryzykowne	Tak	Zmiany konfiguracji wpływają na funkcję ochronną
Ponowne uruchomienie maszyny po wyłączeniu urządzenia zabezpieczającego	Nie	Tak	Automatyczny restart po uzyskaniu dostępu może być śmiertelnie niebezpieczny

Lepszym posunięciem inżynieryjnym jest rozdzielenie systemu na dwie warstwy. Warstwa bezpieczeństwa zatrzymuje zagrożenia. Warstwa monitorowania wyjaśnia, co się stało. Kiedy te dwie warstwy się rozmywają, dochodzenia stają się brzydkie.

Właśnie dlatego modele z prawdziwymi funkcjami bezpieczeństwa mają znaczenie. Na przykład Precyzyjna kurtyna bezpieczeństwa z obsługą EDM jest poważniejszym punktem wyjścia niż ogólny czujnik fotoelektryczny podłączony do zwykłej karty wejściowej. To samo dotyczy sytuacji, gdy projekt wymaga specjalnych wymiarów, podwójnego wyjścia lub statusu PLC. Niestandardowa kurtyna świetlna z obsługą PLC ma więcej sensu niż wciskanie standardowego czujnika w dziwną ramę maszyny.

Pliki wypadków nie dbają o deskę rozdzielczą

Tutaj rozmowa staje się mniej komfortowa.

W roku budżetowym 2024 OSHA wymieniła ochronę maszyn zgodnie z 29 CFR 1910.212 wśród 10 najczęściej cytowanych norm. OSHA zgłosiła również 34 696 inspekcji federalnych w roku budżetowym 2024 i zauważyła, że agencja i partnerzy stanowi obejmują około 130 milionów pracowników w ponad 8 milionach miejsc pracy. Innymi słowy, egzekwowanie przepisów jest niewielkie, ale gdy coś pójdzie nie tak, papierowy ślad staje się bardzo głośny.

Amerykańskie Biuro Statystyki Pracy odnotowało 5 070 śmiertelnych wypadków przy pracy w 2024 r., w porównaniu z 5 283 w 2023 r., przy czym jeden pracownik umiera co 104 minuty z powodu urazu związanego z pracą. Nie jest to statystyka dotycząca wyłącznie ochrony maszyn, ale jest to tło, o którym każdy kierownik zakładu powinien pamiętać przed zatwierdzeniem skrótów wokół logiki resetowania bezpieczeństwa.

Spójrz na te przypadki.

We wrześniu 2024 r. OSHA stwierdziła Hailiang Copper Texas stanął w obliczu $253K proponowanych kar po tym, jak pracownik doznał częściowej amputacji ramienia podczas próby usunięcia gruzu w pobliżu sprzętu do produkcji cewek miedzianych. OSHA stwierdziła, że zakład nie zainstalował wymaganych osłon lub urządzeń blokujących i naraził pracowników na niebezpieczny kontakt z ruchomymi częściami maszyn.

W grudniu 2024 r. Departament Pracy stwierdził, że G&S Metal Products faced $182K in fines po tym, jak dwóch pracowników doznało amputacji w wyniku incydentów z prasami mechanicznymi. Jedna z pras niespodziewanie uruchomiła się podczas serwisowania; inna zamknęła się bez ostrzeżenia podczas usuwania złomu. OSHA wymieniła nieodpowiednie osłony, awarie lockout/tagout i słabe szkolenie w zakresie bezpieczeństwa maszyn.

W kwietniu 2024 r. Departament Pracy powiedział Faurecia Emissions Control Systems stanęła w obliczu ponad $300K proponowanych kar po tym, jak 26-letni pracownik został śmiertelnie przygnieciony w pobliżu sprzętu do gięcia rur wydechowych pojazdów. OSHA stwierdziła, że odpowiednie zabezpieczenie maszyny i procedury lockout/tagout mogły zapobiec tragedii.

Żaden inspektor nie będzie pod wrażeniem błyszczącego ekranu HMI, jeśli niebezpieczny ruch może zostać wznowiony z niewłaściwego miejsca, w niewłaściwym czasie, bez zweryfikowanego wyraźnego widoku chronionego obszaru.

Gdzie monitorowanie urządzeń bezpieczeństwa Ethernet/IP faktycznie pomaga

Nie jestem anty-sieciowy. Jestem antyfantastyczny.

Monitorowanie urządzeń bezpieczeństwa w sieci EtherNet/IP może być doskonałym rozwiązaniem, gdy jest wykorzystywane do właściwych zadań: diagnostyki bezpieczeństwa maszyny, stanu urządzenia, statusu strefy, lokalizacji usterek, dowodów konserwacji, wyświetlania gotowości do ponownego uruchomienia oraz dowodu, że żądanie bezpieczeństwa wystąpiło o 14:03:22, a nie “jakiś czas przed obiadem”.”

To właśnie tutaj monitorowanie stanu PLC zarabia na swoje utrzymanie.

Dobra architektura monitorowania powinna pokazywać:

• Nazwa, lokalizacja i strefa urządzenia zabezpieczającego
• Stan OSSD lub bezpieczny stan wyjścia
• Zresetuj stan żądania
• Restart stanu blokady
• Stan sprzężenia zwrotnego EDM
• Aktywne wyciszenie, błąd wyciszenia lub aktywne obejście
• Kod błędu i znacznik czasu
• Tryb sterownika bezpieczeństwa
• Ostatnie żądanie bezpieczeństwa
• Kondycja sieci, jeśli używana jest komunikacja z oceną bezpieczeństwa
• Historia nadpisania konserwacji, jeśli w ogóle istnieje jakiekolwiek nadpisanie

Projekt musi jednak jasno określać jedną rzecz: monitorujący sterownik PLC nie może po cichu obniżać poziomu funkcji bezpieczeństwa.

Jeśli nadal wybierasz typ urządzenia ochronnego, zapoznaj się z sekcją Przewodniki wyboru urządzeń zabezpieczających przed podłączeniem czegokolwiek. Dla większych komórek, przenośników i mobilnych obszarów automatyki, lidary bezpieczeństwa może być bardziej odpowiednia niż stała kurtyna świetlna. W przypadku informacji zwrotnej o położeniu metalowego celu czujnik zbliżeniowy może obsługiwać diagnostykę, ale nie należy go mylić z urządzeniem do ochrony personelu, chyba że w tym celu zaprojektowano pełną funkcję bezpieczeństwa.

Problem z resetem, którego nikt nie chce rozwiązać

Zresetowany projekt szybko obnaża słabości inżynierii.

Jeśli pracownik otworzy osłonę, przerwie kurtynę świetlną, wejdzie do celi robota lub wejdzie do obszaru prasy, maszyna nie może uruchomić się ponownie tylko dlatego, że sygnał staje się ponownie wyraźny. Wydaje się to oczywiste. Mimo to zakłady wciąż tworzą systemy, w których wyczyszczenie wiązki, kliknięcie potwierdzenia HMI lub przełączenie bitu sieciowego tworzy łańcuch restartu, którego nikt w pełni nie przetestował.

Ale tutaj jest trudniejsza kwestia: zresetuj lokalizację.

Przycisk resetowania powinien być zwykle umieszczony tak, aby operator mógł sprawdzić, czy strefa zagrożenia jest wolna przed zresetowaniem funkcji bezpieczeństwa. Zdalny reset Ethernet z pokoju kontrolnego może być wygodny, ale czy dana osoba widzi za prasą? Czy widzi wnętrze ogrodzonej celi? Czy widzi martwy punkt podawania paletyzatora? Czy widzi technika konserwacji przykucniętego obok zacięcia?

Jeśli nie, to dlaczego mogą go zresetować?

Do planowania zgodności należy użyć sekcja norm bezpieczeństwa maszyn jako punkt wyjścia, a następnie udokumentować rzeczywistą ocenę ryzyka maszyny, czas zatrzymania, odległość bezpieczeństwa, lokalizację resetowania, docelowy poziom wydajności, metodę walidacji i projekt okablowania. Nie pozwól, aby zespół zakupowy zredukował projekt do “potrzebujemy statusu Ethernet i PLC”.”

To wyrażenie jest zbyt małe w stosunku do ryzyka.

Praktyczna architektura, której mógłbym bronić

Oto czystsza architektura, której broniłbym przed kierownikiem ds. bezpieczeństwa, klientem OEM lub śledczym.

Warstwa bezpieczeństwa

Do ochrony personelu należy używać urządzeń i układów logicznych z certyfikatem bezpieczeństwa. Mogą to być kurtyny świetlne bezpieczeństwa typu 4, przekaźniki bezpieczeństwa, sterowniki PLC bezpieczeństwa, wejścia dwukanałowe, EDM, bezpieczne wyłączanie momentu obrotowego, osłony z blokadą, maty bezpieczeństwa, lidary bezpieczeństwa i zweryfikowane bloki funkcyjne bezpieczeństwa.

Warstwa monitorowania

Użyj standardowej warstwy PLC, HMI, SCADA lub MES, aby uzyskać widoczność tylko do odczytu. Wyświetlanie stanu. Przechowywanie zdarzeń. Ostrzeganie o konserwacji. Trendy uciążliwych wyłączeń. Śledzenie częstotliwości resetowania. Identyfikacja stref z powtarzającym się dostępem. Ale nie pozwól, aby ta warstwa stała się organem odpowiedzialnym za bezpieczne zatrzymanie lub ponowne uruchomienie.

Warstwa resetowania

Użyj metody resetowania, która odpowiada ocenie ryzyka. Lokalny reset przewodowy jest często czystszy. Reset bezpieczeństwa PLC może być akceptowalny po zatwierdzeniu. Reset Ethernet powinien być traktowany jako wyjątek, a nie domyślny, zwłaszcza gdy widoczność strefy niebezpiecznej jest niepełna.

Warstwa dokumentacji

Zachowaj dowody. Rysunki okablowania. Opisy funkcji bezpieczeństwa. Pomiary czasu zatrzymania. Obliczenia odległości bezpieczeństwa. W stosownych przypadkach ocena SISTEMA lub równoważna. Zapisy testów walidacyjnych. Dzienniki zmian. Reguły uprawnień HMI. Zasady dotyczące haseł. Rejestry autoryzacji obejścia.

Zakład, który dobrze to dokumentuje, wygląda profesjonalnie. Zakład, który nie potrafi wyjaśnić, kto może zresetować co, skąd i w jakich warunkach, wygląda na lekkomyślny.

Najczęściej zadawane pytania

Czym jest monitorowanie stanu PLC dla urządzeń bezpieczeństwa?

Monitorowanie stanu sterownika PLC polega na wykorzystaniu wejść sterownika, znaczników bezpieczeństwa, bitów diagnostycznych i stanów interfejsu HMI do obserwowania, czy urządzenia bezpieczeństwa, takie jak kurtyny świetlne, blokady, maty bezpieczeństwa i skanery lidarowe, są zdrowe, zablokowane, gotowe do zresetowania, uszkodzone, wyciszone, ominięte lub aktywnie żądają zatrzymania. Powinno to usprawnić diagnostykę, a nie zastąpić system kontroli bezpieczeństwa.

W praktyce monitorowanie stanu sterownika PLC pomaga działom utrzymania ruchu i operacjom zrozumieć, dlaczego maszyna się zatrzymała. Może to skrócić czas przestojów, ujawnić powtarzające się uciążliwe wyłączenia i pomóc w lepszym rozwiązywaniu problemów. Jednak sama funkcja zatrzymania musi być nadal obsługiwana przez sprzęt klasy bezpieczeństwa, zweryfikowaną logikę i udokumentowane zachowanie resetowania.

Czy reset Ethernet może być zgodny z urządzeniami bezpieczeństwa?

Reset Ethernet to oparte na sieci polecenie resetowania wysyłane za pośrednictwem interfejsu HMI, sterownika PLC, sterownika bezpieczeństwa lub protokołu przemysłowego, które można uznać za zgodne tylko wtedy, gdy ocena ryzyka, architektura klasy bezpieczeństwa, lokalizacja resetowania, zapobieganie ponownemu uruchomieniu, zapis walidacji i obowiązujące normy maszynowe obsługują tę metodę. Nie jest ona automatycznie bezpieczna, ponieważ jest cyfrowa.

Największym zagrożeniem jest zdalny reset bez widoczności. Jeśli osoba resetująca system nie może potwierdzić, że nikt nie pozostaje w strefie zagrożenia, projekt jest słaby. Reset powinien przywrócić gotowość; nie powinien powodować nieoczekiwanego ruchu ani ukrywać niebezpiecznego stanu za zieloną ikoną HMI.

Dlaczego standardowe monitorowanie stanu sterownika PLC nie wystarcza do zapewnienia zgodności z wymogami bezpieczeństwa maszyn?

Standardowe monitorowanie stanu sterownika PLC nie jest funkcją bezpieczeństwa, ponieważ zwykłe wejścia, komunikaty Ethernet, bity HMI i znaczniki drabinkowe zwykle nie są zaprojektowane, certyfikowane ani walidowane w celu zapewnienia odporności na awarie, pokrycia diagnostycznego, deterministycznej reakcji i ponownego uruchomienia wymaganego do ochrony personelu. Monitorowanie może informować ludzi, ale nie można zakładać, że będzie ich chronić.

Nie oznacza to, że PLC jest bezużyteczny. Oznacza to, że sterownik PLC powinien pełnić właściwą rolę. Powinien on gromadzić zdarzenia, wyświetlać stan urządzenia i ostrzegać o konieczności przeprowadzenia konserwacji. Przekaźnik bezpieczeństwa, sterownik PLC, sterownik bezpieczeństwa lub zatwierdzona sieć bezpieczeństwa powinny pełnić funkcję ochronną.

W jaki sposób inżynierowie powinni monitorować urządzenia bezpieczeństwa za pomocą PLC bez stwarzania ryzyka braku zgodności?

Bezpieczne monitorowanie sterownika PLC oznacza oddzielenie logiki zatrzymania z certyfikatem bezpieczeństwa od diagnostyki niezwiązanej z bezpieczeństwem, a następnie użycie zatwierdzonych wyjść pomocniczych, bitów stanu sterownika bezpieczeństwa, dzienników zdarzeń i wskaźników HMI tylko do odczytu w celu raportowania stanu urządzenia bez zezwalania zwykłym poleceniom Ethernet na wyłączanie, resetowanie lub ponowne uruchamianie funkcji ochronnych. Granica musi być zamierzona, udokumentowana i przetestowana.

Dobra zasada jest prosta: odczytuj status swobodnie, pisz polecenia ostrożnie. Każde polecenie, które zmienia stan resetu, mutingu, bypassu, konfigurację strefy lub zezwolenie na restart, wymaga sprawdzenia pod kątem bezpieczeństwa. Jeśli funkcja wpływa na to, czy może wystąpić niebezpieczny ruch, należy traktować ją jako część systemu bezpieczeństwa.

Co należy sprawdzić przed dodaniem logiki zgodności obwodu bezpieczeństwa resetowania PLC?

Zgodność obwodu bezpieczeństwa resetowania sterownika PLC oznacza, że projekt resetowania musi zostać zweryfikowany pod kątem oceny ryzyka maszyny, lokalizacji resetowania, widoczności strefy niebezpiecznej, wymagań dotyczących ręcznego resetowania, zapobiegania ponownemu uruchomieniu, struktury wejściowej o klasie bezpieczeństwa, sprzężenia zwrotnego EDM, obsługi błędów, kontroli dostępu i zapisów walidacyjnych. Obwód resetowania to nie tylko przycisk; to kontrolowane zachowanie bezpieczeństwa.

Przed zatwierdzeniem należy przetestować rzeczywiste tryby awarii. Przytrzymaj reset. Przerwanie kurtyny świetlnej. Symulacja spawanego stycznika. Przerwać komunikację sieciową. Wyłączenie zasilania sterownika bezpieczeństwa. Spróbuj zresetować z niewłaściwego ekranu. Jeśli maszyna nadal zachowuje się przewidywalnie i bezpiecznie, jesteś bliżej projektu, który można obronić.

Następne kroki

Nie kupuj funkcji “Ethernet reset”, dopóki nie wiesz dokładnie, co resetuje, kto może ją uruchomić, gdzie stoi, co widzi i czy funkcja bezpieczeństwa pozostaje ważna po poleceniu.

W przypadku nowej maszyny lub modernizacji należy rozpocząć od zdefiniowania zagrożenia, odległości bezpieczeństwa, typu urządzenia ochronnego, struktury wyjścia, metody resetowania i potrzeb w zakresie monitorowania. Następnie należy dopasować produkt do zagrożenia. Jeśli aplikacja obejmuje niestandardowe wymiary, diagnostykę skierowaną do PLC, EDM, podwójne wyjścia, trudne warunki lub dostęp z wielu stron, wyślij układ maszyny, wymaganą wysokość zabezpieczenia, rozdzielczość, zakres wykrywania, typ wyjścia, napięcie, wymagania dotyczące kabli, rynek docelowy i oczekiwania dotyczące resetowania przez Strona z zapytaniem ofertowym dotyczącym kurtyn bezpieczeństwa.