Memastikan Keselamatan Mesin dengan Drives Kecepatan Variabel: Fungsi Utama & Praktik Terbaik

Prinsip umum fungsi keselamatan dalam peralatan elektronik

Blog ini memberikan pengenalan tentang penggunaan drives kecepatan variabel dalam fungsi keselamatan mesin. Ini dimaksudkan untuk membantu mereka yang familiar dengan inverter drives a.c tetapi kurang dengan sistem kontrol terkait keselamatan. Ini harus membantu pembaca untuk memahami prinsip dan lanjut untuk mengakses sejumlah besar materi terperinci yang tersedia tentang sistem terkait keselamatan.

Istilah “Functional Safety” diterapkan di mana peralatan listrik, elektronik atau terprogram digunakan untuk melakukan fungsi yang mempengaruhi keselamatan manusia. Ini adalah topik yang luas, yang mencakup aplikasi yang beragam seperti sinyalisasi kereta api dan pemantauan serta kontrol pabrik proses besar di mana banyak orang dapat berisiko dalam insiden. Namun paling umum dalam aplikasi drive ini akan merujuk pada jenis mesin, di mana sistem kontrol dapat digunakan untuk mencegah situasi di mana seseorang akan berisiko cedera dari operasi mesin. Contoh sederhana adalah hambatan keselamatan, yang perlu dibuka dengan sering untuk mendapatkan akses ke bagian mesin, tetapi ketika terbuka mesin tidak boleh dapat beroperasi. Sistem sensor dan aktuator dapat dirancang untuk mendeteksi keadaan hambatan dan mengontrol mesin.

Dengan ketersediaan perangkat terprogram pintar seperti PLC dan VSD digital, sistem keselamatan dapat lebih fleksibel dan cerdas dari contoh ini, memungkinkan operasi fleksible sambil tetap memelihara keselamatan. Misalnya, mungkin memungkinkan untuk mengizinkan operasi yang berlanjut pada kecepatan yang dikurangi ketika hambatan terbuka, mungkin bersyarat pada kunci keselamatan khusus yang dioperasikan oleh orang yang berkelayakan, atau mungkin ketika wajah orang itu dikenali, atau pertimbangan lain.

Mode kegagalan

Faktor krusial dengan fungsi keselamatan adalah keandalan fungsi harus jauh lebih baik dari yang dapat dicapai oleh peralatan listrik, elektronik atau terprogram sederhana. Seberapa baik pun kualitas sirkuit listrik atau elektronik konvensional, beberapa kesalahan komponen dapat terjadi yang mengakibatkan kegagalan dalam melakukan fungsi keselamatan yang diperlukan, tetapi tanpa kesalahan menjadi terlihat. Hardware untuk fungsi keselamatan oleh karena itu harus dirancang dengan fitur pengujian sendiri atau “fail-safe” yang built in. Selama pengembangan produk, efek kegagalan hardware harus dianalisis dalam Failure Modes and Effects Analysis (FMEA) dan mode kegagalan yang berpotensi berbahaya harus dikurangi oleh desain ke tingkat yang sangat rendah. Target yang umum untuk PFH_D (probabilitas kegagalan dalam arah berbahaya) untuk tingkat integritas SIL3 akan menjadi 10^-8 per jam, yaitu tingkat kegagalan kurang dari satu per 10.000 tahun. Tingkat kegagalan yang sangat rendah selalu memerlukan struktur khusus dalam sistem kontrol elektronik. Perhatikan di sini bahwa kita merujuk pada kegagalan acak yang terjadi selama umur kerja yang diinginkan dari peralatan, dan bukan pada harapan umur. Bagian dengan mekanisme aus yang diketahui dalam umur yang diinginkan dari sistem dapat dikelola oleh pemeliharaan yang direncanakan.

Struktur kontrol

Dalam sebagian besar aplikasi yang melibatkan drives, keselamatan mesin tetap sedang ditangani, dan opsi yang paling umum adalah menggunakan dua saluran independen untuk fungsi keselamatan, dengan cross-checking yang diatur sehingga dalam kasus ketidaksesuaian drive berhenti, yaitu torsi penggerak berhenti. Dalam sebagian besar mesin ini menghasilkan keadaan aman. Untuk mesin seperti penanggan yang dapat bergerak di bawah gravitasi tanpa drive, langkah harus diambil untuk memastikan bahwa tidak dapat menyebabkan bahaya ketika torsi penggerak hilang.

Gambar 1 mengilustrasikan sistem keselamatan dua saluran dasar yang juga disebut sebagai sistem “one out of two” atau 1oo2, yang berarti jika salah satu dari dua saluran meminta berhenti maka mesin berhenti. Ini adalah pengaturan yang paling umum untuk sistem kontrol keselamatan mesin. Kesalahan dalam sensor atau pengkondisian sinyal prosesor tidak mengakibatkan kehilangan fungsi keselamatan. Perhatikan bahwa Gambar 1 hanya merupakan diagram fungsional, “AND gate” di output bukanlah chip logika sederhana, karena itu akan memperkenalkan mekanisme kegagalan titik tunggal, jika chip logika gagal. Ini dapat berupa input STO dua saluran pada drive, atau metode lain di mana kegagalan penyebab umum dari satu perangkat dieliminasi.

Fungsi diagnostik yang ditunjukkan dalam abu-abu biasanya diperlukan untuk memastikan keselamatan berlanjut, karena tanpa itu, meskipun kesalahan dalam satu saluran tidak menyebabkan fungsi keselamatan gagal, akan mungkin bagi mesin untuk terus beroperasi selamanya dengan satu saluran dalam keadaan tidak aman. Kesalahan kedua kemudian akan mengakibatkan kondisi berbahaya.

Gambar 1: Struktur kontrol one-out-of two

Software/firmware

Penggunaan prosesor terbenam yang menjalankan firmware dan perangkat lunak memperkenalkan dimensi baru pada keselamatan fungsional. Perangkat lunak tidak memiliki kegagalan acak, tetapi kompleksitasnya berarti sulit untuk memastikan bahwa beroperasi seperti yang diinginkan di bawah semua kondisi dan urutan peristiwa. Ini tidak dapat dibuktikan dengan tes sistem lengkap sebagai “kotak hitam” – perangkat lunak harus ditulis dalam bahasa yang jelas dengan langkah-langkah untuk menghindari kesalahan pengkodean, dan secara cermat terstruktur dalam modul yang dapat ditentukan dan diuji pada setiap langkah. Juga harus dibuktikan bahwa modul tidak dapat terpengaruh secara negatif oleh aktivitas lain dalam sistem prosesor, dan ini sulit jika kode non-kesehatan berjalan pada prosesor yang sama.

Disiplin yang diperlukan untuk menciptakan spesifikasi yang jelas dan tidak ambigu, dengan rencana tes, dan mendokumentasikan proses secara menyeluruh, berlaku baik untuk menulis kode maupun untuk merancang sistem lengkap.

Salah satu kontrol penting atas kualitas perangkat lunak adalah untuk membedakan “bahasa variabilitas terbatas” (LVL) dari “bahasa variabilitas penuh” (FVL). LVL terbatas pada konfigurasi modul yang telah disetujui sebelumnya dengan fungsi yang terdefinisi dengan baik dengan cara yang terbatas sehingga hasilnya dapat diuji oleh program tes sekuensial sederhana. LVL akan dibuat menggunakan FVL seperti C++ dll., yang telah melalui proses desain yang ketat dan kemudian dikunci di luar akses oleh programmer LVL.

Kemudahan dengan yang perangkat lunak dapat diubah juga berarti bahwa sistem kontrol versi yang aman harus tersedia, termasuk pencegahan perubahan yang tidak diizinkan.

Aplikasi drive

Banyak fungsi keselamatan yang terdiri dari urutan sederhana dan kombinasi input untuk mengontrol output dapat diimplementasikan dalam PLC dengan fitur khusus untuk mencegah bahaya dari kesalahan hardware dan kesalahan perangkat lunak, yaitu “safety PLC”. Namun ada aplikasi di mana drive sangat cocok untuk mengimplementasikan fungsi tersebut secara hemat biaya:

• Pencegahan drive – inverter drive memiliki fitur unik yang sesuai untuk tautan terakhir dalam rantai keselamatan, yaitu untuk mencegah torsi yang dikembangkan dalam motor saat diperlukan, dengan integritas yang sangat tinggi. Ini didefinisikan sebagai Safe Torque Off (STO).
• Membatasi cakupan gerakan, termasuk torsi, percepatan, kecepatan, arah atau posisi, baik dalam nilai mutlak atau nilai relatif seperti peningkatan posisi. Drive mengontrol variabel ini dan sering memiliki pengukuran yang akurat dan respons cepat, mis. melalui encoder poros atau posisi, atau mungkin dengan mengamati perilaku tegangan dan arus motor. Jika fungsi terkait drive ini digabungkan dengan logika kombinatorial dan sekuensial sederhana untuk input dari sensor mesin seperti saklar pintu dan saklar kunci, maka kelas besar aplikasi keselamatan dapat diimplementasikan.

Standar untuk bagian terkait keselamatan dari sistem kontrol mesin

Kebutuhan akan manajemen dan implementasi yang ketat dari desain sistem keselamatan berarti bahwa standar internasional yang relevan kompleks dan padat. Dalam catatan ini kita hanya akan melihat beberapa fitur kunci dari standar yang paling relevan untuk keselamatan mesin.

Standar internasional diawali oleh ISO atau IEC. Standar CENELEC Eropa diawali oleh EN. Kami akan melihat versi EN di sini, bentuk internasional menggunakan angka yang sama dengan awalan yang berbeda. Versi EN memiliki status standar yang diselaraskan untuk Direktif Mesin EC.

EN ISO 12100 menggambarkan bagaimana penilaian risiko mesin harus dilakukan, menghasilkan alokasi fungsi keselamatan ke sistem kontrol jika diperlukan. Ini adalah prasyarat yang esensial untuk desain yang benar dari kontrol terkait keselamatan, dan merupakan tanggung jawab desainer mesin.

EN 61800-5-2 adalah standar untuk keselamatan fungsional sistem penggerak daya. Ini mendefinisikan sejumlah fungsi[1] yang sangat cocok untuk drives, disebut sebagai “designated safety sub-functions”, seperti Safe Torque Off (STO), Safely-limited speed (SLS) dll. Integritas keselamatan dari fungsi keselamatan lengkap diukur oleh SIL, yang dapat mengambil nilai 1 (terendah) hingga 3. Karena drive adalah sub-sistem dari sistem kontrol terkait keselamatan lengkap ini disebut sebagai “SIL capability”-nya.

EN 62061 adalah standar untuk sistem kontrol listrik/elektronik/terprogram mesin, yang menggunakan metrik SIL yang sama seperti EN 61800-5-2

EN ISO 13849-1 adalah standar untuk sistem kontrol mesin, termasuk sistem non-listrik. Ini menggunakan metrik yang berbeda, Performance Level (PL) dan Category (dari B hingga 4). Standar tambahan EN ISO 13849-2 mencakup “Validasi”, yang mencakup panduan tentang kesalahan mana yang perlu dipertimbangkan dan mana yang dapat diabaikan (“fault exclusions”).

Dasar dari banyak standarisasi sistem listrik/elektronik/terprogram terkait keselamatan adalah seri EN 61508-#, bagian 1 hingga 7. Ini bukan standar yang diselaraskan karena mencakup semua sistem dan tidak hanya sistem kontrol untuk mesin.

Tingkat integritas keselamatan

SIL atau PL yang diperlukan untuk fungsi keselamatan tertentu terhubung dengan tingkat risiko yang harus ditanggulangi oleh fungsi – yaitu probabilitas dan keparahan cedera yang mungkin. Proses untuk memutuskan ini dimulai dengan penilaian risiko mesin, yang dijelaskan dalam EN ISO 12100. Aturan untuk menentukan SIL atau PL yang diperlukan diberikan dalam EN 62061 dan EN ISO 13849-1.

Safe Torque Off dalam inverter drives (STO)

Fungsi keselamatan paling dasar yang dapat ditawarkan oleh drive adalah STO. Inverter drive yang mengontrol motor induksi sangat cocok untuk fungsi ini, karena tahap daya inverter harus terus aktif dengan pola switching PWM yang kompleks dan terkontrol dengan baik untuk sebagian besar semiconductors daya untuk menghasilkan torsi apa pun dalam motor. Gambar 2 mengilustrasikan struktur daya dasar inverter.

Gambar 2: Struktur daya dasar inverter DC link

Motor memerlukan medan magnet berputar untuk menghasilkan torsi, yang hanya dapat dihasilkan oleh enam transistor daya yang mengikuti pola switching kompleks dan terdefinisi dengan baik yang menghasilkan set tegangan tiga fase di terminal output. Ketika tidak ada pola kontrol ini, karena pasokan daya ke inverter adalah DC, tidak ada kesalahan dalam sirkuit daya inverter yang cenderung menyebabkan torsi. Kesalahan terburuk akan terjadi ketika dua transistor di kutub berlawanan dari dua kaki inverter menuntas secara tidak sengaja, seperti yang ditunjukkan oleh panah merah di Gambar 2. Dalam hal ini arus yang tidak terkontrol tinggi akan mengalir dalam satu fase motor hingga sistem perlindungan arus berlebih beroperasi atau inverter hancur (sekring atau pembuka input membersihkan). Tidak ada yang memberikan medan magnet berputar, jadi tidak ada torsi yang dihasilkan.

Dalam kasus motor magnet permanen atau reluctansi, kesalahan terburuk ini akan menyebabkan torsi selarasan sementara hingga perlindungan beroperasi. Pada batasnya, motor dapat berputar satu pole pitch untuk motor PM atau setengah pole pitch untuk motor reluctansi.

Antarmuka antara tahap daya inverter dan input kontrol STO drive harus dirancang untuk mempertahankan probabilitas kegagalan tidak aman yang sangat rendah, yang akan berarti pola kontrol PWM yang kompleks melewati ke transistor inverter secara tidak sengaja. Biasanya susunan ini menggunakan teknik “fail safe” sejenis, di mana sama seperti di inverter itu sendiri, kegagalan komponen segala jenis mengakibatkan hilangnya perintah “Enable”. Mungkin ada dua saluran independen sehingga fungsi STO dapat dengan mudah dihubungkan ke pengontrol keselamatan dua saluran.

Fungsi keselamatan drive yang lebih canggih

Sebagian besar fungsi safety lainnya yang ditetapkan oleh drive memerlukan analisis data seperti arus motor dan/atau kecepatan dll. Ini biasanya diimplementasikan dalam mikrokontroler, dengan pengontrol kedua yang terus-menerus mencerminkan data input dan output dan tindakan prosesor, seperti yang diilustrasikan pada Gambar 3. Tak terkecuali hasil dari deteksi ketidaksesuaian adalah drive dinonaktifkan melalui fungsi STO.

Probabilitas kesalahan hardware dalam arah berbahaya dikurangi ke tingkat yang dapat ditoleransi dengan memiliki dua saluran dengan cross-checking. Perangkat input seperti saklar diduplikasi untuk memungkinkan deteksi kesalahan “stuck at” sederhana, dan mereka mungkin diupply dengan pulsa elektrik yang beragam sehingga kesalahan rahasia yang lebih halus antara saluran dapat terdeteksi. Inkremental shaft encoder dasar memiliki fitur inherent yang berguna yang memungkinkan sebagian besar kesalahan terdeteksi, karena dua jejak pulsa memiliki pergeseran fase 90° yang berarti sebagian besar kesalahan menghasilkan urutan pulsa yang tidak mungkin, yang dapat terdeteksi. Output digital diperiksa oleh pulsa tes teratur yang menguji apakah output yang sengaja dipertahankan dalam kondisi logika tinggi (true) masih mampu pergi ke rendah – terkadang disebut output OSSD.

Probabilitas kesalahan sistematis, yaitu kesalahan inherent dalam desain, dikurangi ke tingkat yang dapat ditoleransi oleh proses yang paling ketat dalam menentukan persyaratan yang tepat untuk fungsi keselamatan dan melacak implementasi, pengujian, dan dokumentasinya.

Mesin lengkap dan komponen keselamatan

Proses yang ketat dalam menentukan dan melacak fungsi keselamatan harus diikuti untuk setiap aplikasi individu, dan desainer mesin secara akhir bertanggung jawab atas ini. Jika drive dengan fitur keselamatan fungsional digunakan sebagai bagian dari desain maka menjadi komponen keselamatan, dan spesifikasi persyaratan keselamatan serta sertifikasi sendiri menjadi bagian dari dokumentasi sistem lengkap.

Di dalam Uni Eropa persyaratan ini tertanam dalam hukum dalam bentuk Direktif Mesin 2006/42/EC, yang mencakup definisi dan persyaratan untuk komponen keselamatan saat mereka dipasarkan secara terpisah. Dalam praktiknya ini biasanya berarti drive dengan fungsi keselamatan datang dengan sertifikat pemeriksaan tipe EC yang dikeluarkan oleh Badan Notifikasi independen yang disetujui pemerintah, untuk memungkinkannya digunakan dalam sistem kontrol terkait keselamatan mesin. Jika fungsi STO bawaan sebagai standar, sehingga mungkin atau mungkin tidak digunakan sebagai komponen keselamatan, drive kemudian harus memiliki dua deklarasi produsen EC terpisah, sesuai dengan Direktif Mesin dan Direktif Tegangan Rendah.