关于安全和紧急停止的设计.doc

关于紧急停止和安全电路的分析前言：以下为我搜集、整理和编写的一些资料，仅供公司内部参考。其中技术错误和文字错误敬请阅读者帮以修改并指出，这将是对我极大的帮助与鼓励。我想也是我们大家共同学习与交流的一个机会。 文章中所用的图纸、例子，没有针对任何人和任何项目之意。如有不妥敬请谅解。目的仅仅是为了共同提高我们的设计的安全性和可靠性。这对于公司和个人都是必须的。在EN 60204-1标准的第9.2.2段中，规定了三种停止类别：1）：停止类别0：通过立即切断供给机器设备的电源来实现停止，也就是停止不受控制。2）：停止类别1：受控制的停止，供给机器设备执行机构的电源一直保持，以使机器设备逐渐停止下来。只有当机器设备完全停止后电源才被切断。3）：停止类别2：受控制的停止，供给机器设备驱动装置的电源一直保持。机器设备的安全保护，其核心就是使机器设备的危险动作停止下来。如何将机器设备从运行到停止下来？根据所使用的安全保护装置的不同，可以有不同的安全停止功能。在正常运行中使用的停止功能，必须要能够避免机器设备、产品和加工过程被破坏，同时要能够防止机器设备的重新启动，这就是对安全停止功能的要求。正确的、安全的停止，必须建立在对机器设备所进行的危险性分析的基础之上，这在 EN954-1：1994标准中有所规定。EN 1050 风险评估调试模式下，PLC 控制机械手以较慢的速度运行，会对操作人员造成较小的伤害。运行操作模式下，速度较快，会对人员造成严重的伤害。任何一台机器都存在危险。一台安全的设备、或采用安全保护和控制措施的生产过程能够避免事故的发生人的不安全行为（如违章、违规操作）和物的不安全状态（如控制器件失效、机器误动作等）安全系统与控制系统的关系安全系统和控制系统属于两个完全不同的概念控制系统用来保持设备在各种外部条件下能够在正常的限定范围内运行安全系统是为确保设备在出现故障时，仍处于安全状态的系统控制系统的功能应服从于安全系统的要求EN/IEC 60204-1 机械安全机械电气设备EN/IEC 60204-1 机械安全机械电气设备9 控制电路和控制功能9.4 故障情况的控制功能9.4.1 一般要求电气设备中的故障或骚扰会引起危险情况或损坏机械和加工件时，应采取适当措施以减少这些危险的可能性。所需的措施及其实现，无论单独或结合使用，均依赖于有关应用的风险评价等级。9.4.2 故障情况下减低风险的措施9.4.2.1 采用成熟的电路技术和元件9.4.2.2 采用冗余技术9.4.2.3 采用相异技术9.4.2.4 功能测试可否使用普通PLC作为安全系统硬件？一般来讲，不能选用普通PLC作为安全系统的硬件，这是因为当它失效时，其输出不能保证是处于定义的安全状态。短路导致危险状态PLC OutputEN 954-1 安全等级B和1级等级要求摘要风险评估安全原则B控制器的安全相关部分的选择必须根据最新的技术，并且可以承受预期的运行强度，能够承受运行过程中工作介质的影响和相关外部环境的影响。一个故障可以导致安全功能的丢失一些故障依然不会被监测出来通过元器件和安全原理的选择。1在等级B的基础上，必须使用具有安全功能保证的元器件和原理如同等级B,但在安全功能上更加可靠如同等级B,但在安全功能上更加可靠EN 954-1 安全等级B和1级 原理图EN 954-1 安全等级2级等级要求摘要风险评估安全原则2符合等级B 的要求，并且使用适当的、可靠的安全设计法则:在机器启动的时候，执行一个安全检测功能，若有必要可以周期性的执行该检测功能只有系统是安全的，机器才能够启动. 通过一个频繁的检测，故障可以被检测出来也就是高等级的安全特性单通道输入使用启动检测功能的控制器件EN 954-1 安全等级2级 原理图EN 954-1 安全等级3级等级要求摘要风险评估安全原则3符合等级B 的要求，并且使用适当的、可靠的安全设计法则安全相关部分必须按照以下设计:-在任何部分的单一故障不会导致安全功能的丢失并且-任何时候，使用适当的方法，单一故障能够被检测出来一个单一故障的出现不会导致安全功能的丢失在下一次安全功能实施前，能够检测出该单一故障但并不是所有的故障都会被检测出来，一个累计的故障会导致安全功能的丢失双通道触点(或两个分离的)安全输入设备，连接至两个独立的电路单元。EN 954-1 安全等级3级 原理图紧急急停按钮的要求设备发生异常或有误操作时，使设备停止相关标准：适用带直接断开机构的常闭触点，IEC60947-5-5/-1按钮为红色，背景为黄色，形状是掌型或蘑菇型，IEC60947-5-5，ISO13850，IEC90204-1操动头被按下后，必须一直保持停止状态，只能用手复位，IEC60947-5-5，ISO13850急停开关在机器的停止和运行状态下均应有效，并且优先于其他任何控制，ISO13850，IEC60204-1急停开关的安装位置应在操作控制台或工位附近，紧急情况能够立即操动开关，ISO12100，ISO13850，IEC60204-1安全门是设备正常启动的一个必备的条件。对于紧急停止和安全门功能，必须具备 0 级或 1 级停止(见 EN60204 9.2.3)。应优先选用0 级停止。停止功能应当否定相关启动功能，见 EN60204 9.2.5.2。对于紧急停止还应做到： 紧急停止功能应否定所有其它功能，和所有工作方式的操作。 接往能够引起危险情况的机械制动的动力应尽可能快的切除，切不引起其它危险（如采用无外部动力的机械停车装置，对于1类停止应采用反接制动） 复位急停不应引起重新启动。急停应起 0 级或 1级停止功能作用(EN60204 9.2.2)。如果使用 0 级停止功能作为急停功能，它应只有导线直接连接的机电部件，此外他的操作不依赖于电子逻辑（硬件或软件）或通过通信网络或数据链的指令传输。关于 EN60204 的紧急断开（9.2.5.4.3）。 紧急断开的功能目的，见（IEC60364446）下列场合应提供紧急断开：直接接触防护（如电气工作区有汇流排，汇流线，汇流环和控制设备）只是通过置于伸臂以外的防护活用阻挡物防护来达到目的；由电可能会引起的其它伤害或危险的紧急断开由 0 级停止来完成。我们的超温保护应列为紧急断开。如果使用 1 级停止功能作为急停功能，应确保最终切除机械致动机构的能源供给，并应通过机电部件去实现。下面为停止类别的例子1）：停止类别0：通过立即切断供给机器设备的电源来实现停止，也就是停止不受控制。运动控制驱动器的安全停止监控应用、接线示例停止类别 0运动控制驱动器的安全停止监控应用、接线示例停止类别 1停止类别1：受控制的停止，供给机器设备执行机构的电源一直保持，以使机器设备逐渐停止下来。只有当机器设备完全停止后电源才被切断。 停止类别2：受控制的停止，供给机器设备驱动装置的电源一直保持。 比如：通过通讯使变频器停止，但此时变频器依然得电。故障情况的控制功能（EN60204 9.4） 一般要求 电气设备中的故障或干扰会引起危险情况或损害机械和加工工件时，应当采取适当措施以减少这些危险出现的可能性。所需的措施及其实现，无论是单独或结合使用，均依赖于有关应用的风险评价等级。（EN60204 4.1） 减少这些危险的措施包括但不限于： 机械上的保护器件（如连防护装置，脱扣器件）； 电路的保护连锁； 采用成熟的电路技术和元件（EN60204 9.2.4.1） 提供部分或完整的冗余技术或相异技术；（EN60204 9.2.4.2） 提供功能试验。（EN60204 9.2.4.3）通过以上简单的对 EN60204 的有关停止和断开及原理分析，我建议我们的电气设计中的有关安全的部分应遵循以下内容。1：紧急停止。必须为 0 级或 1 级停止。 0 级停止，直接切断控制接触器的电源，释放机械制动器。例如，我们的普通电机控制。 1 级停止，如果直接切断控制接触器的电源不允许时，那么，我们应做到，使设备快速停止， 然后切断电源。比如，设备需要反接制动。 例如，我们的行走机械手，由于行走速度较快，突然断电可能损坏机械手或伺服控制器，则此时我们，应当首先向机械手发送快速停止命令，3 秒延时后断开伺服控制器或变频器的电源。 对于其它小功率的动作电机的变频器（功率小于3KW），则可以直接采用 0 级停止，即断开变频器的电源。对于我们的辊棒炉控制，显得尤为重要，因为目前为止，我们的辊棒炉均由变频器驱动，并且不受紧急停止的控制，有的甚至连必要地钮子开关都没有，只有一个马达空开，而且装于控制柜内，这样一旦出现人员被辊棒损害，急需停止时，将无从下手，即使快速的到控制柜旁，并且控制柜们已打开，也难以找到空开的位置。 从Aichelin 的辊棒炉，网带炉等均由急停直接控制。 例如：南京马丁诺，大辊棒炉，歌德堡SKF 均直接急停控制辊棒停止。这是 EN60204-1 的有关急停的最基本的要求！当然，我们的设计人员说的也有他的道理，他们恐怕辊棒被压弯。但是这种担心必须服从最起码的安全标准。不然，我们的电气图纸就有问题，我觉得我们应当认识此类问题的严重性。美国，和印度辊棒炉采用如下方式，使安全和保护辊棒两者兼顾： 急停触发，辊棒停止。符合 EN60204 的 0 级停止。 急停释放，装于主炉辊棒附近的报警器和报警灯提示，辊棒3060秒后自动运行。报警器关闭。 即辊棒不受控制电压控制。以上控制模式采纳歌德堡的控制模式。南京马丁诺则，控制电压和急停都直接切断辊棒运行。烟台安国特铸链炉，昆山福斯罗铸链炉直接切断网带变频器的电源。我手头仅有两个辊棒炉项目的图纸，我们是否可以咨询一下Aichelin 总部？以下是我们的图纸（大连SKF 与此雷同），其它项目未做统计，但是有一点，辊棒不受急停控制！此类图纸用一个钥匙开关可以切断变频器电源。但是不受急停的控制，不符合EN60204 关于急停的规则。此种方式对于控制风机、风扇勉强可以接受。（取自襄轴图纸）取自某新项目的图纸。此类图纸用一个空开可以切断变频器电源。但是不受急停的控制，操作台上没有可以停止的开关，严重不符合EN60204 关于急停，紧急断开的规则，非常危险，我们有些项目均如此！我个人以为，一个设备运转后不能停止，比这个设备不能运转更可怕，也更危险！紧急停止必须保证在复位后不能自启动。对于急停我们在国内项目我们首推下列电路。此电路带检测功能，器件不正常时不能启动。符合EN60204关于停止的要求，达到了 B2 标准。我建议今后都使用此电路。而且急停要切断相应PLC输出模块的供电电源。分析：如果 124K1 ，124K2，124K3 任何一个继电器损坏电路将不能启动!而且启动后使用了相异触点连锁。安全级别达到了 B2 。对于出口或外资项目，我建议一律使用有安全认证的 Pilz 产品，包括安全门保护，甚至包括供气回路。2：关于超温和安全温度的建议超温仪表超温，我们应当符合紧急断开的原则。(EN60204 9.2.2)。它应只有导线直接连接的机电部件，此外他的操作不依赖于电子逻辑（硬件或软件）或通过通信网络或数据链的指令传输。通过PLC做超温保护我觉得应当杜绝。可是我们的某些项目却通过了PLC输入模块和PLC输出模块，并且通过了PLC的逻辑判断。首先，输入模块可能损坏，输出模块可能损坏，PLC同样可能损坏。这种方式相当危险！对于超温，必须做到，温度恢复正常后禁止加热自启动，只有通过复位电路后，并且重新启动，方可继续加热。Aichelin 的此项功能是通过特殊仪表实现的。由于我们使用了普通仪表，其不带自锁功能。所以我们需要电路上或程序上。进行更改以实现自锁功能。同时仪表应当具有自检功能：原理如下，首先断开超温仪表供电，15秒后再送电，如果此时报警继电器依然闭合，则表明触点粘连，否则表明仪表正常。注意，我们使用仪表继电器的开点，正常时（仪表得电，未超温）此触点闭合，超温则断开。我们自检主要是防止触点粘连，和仪表损坏及仪表未连接等故障。安全温度仪表 由于我们使用的为普通仪表，其本身不带断偶检测功能，一旦断偶，仪表将显示最大值（1370度），此时安全温度仪表将不起作用，任何温度下都表示正常，非常危险！因此，对于安全温度仪表我们需要使用其两通道报警，其中 1 通道用作温度低于 750度报警，另外一个通道用于检测热电偶断路（设定报警点为：炉内最高温度，例如：970度），并且两通道触点串联，这样由于断偶的影响将被禁止。安全性能提高。例图如下：注意：超温和安全温度必须由单独的专有仪表进行控制，禁止通过PLC 或附属逻辑模块进行控制！后室安全温度仪表仪表参数如下，INPUT KCRUL 1373RLL 0ALA1 P_LOPHA1 760AHY1 1USE1 A1_rALA2 P_HiPHA2 1373AHY2 1USE2 A2_r 火帘检测的在线监测 原理，火帘比如多用炉的前门，我们一般是检测到火帘探针有信号后相应火帘检测继电器得电，前门打开条件具备。但是火帘的打开有一个时序，开门请求烧嘴点火火帘电磁阀打开火帘燃烧探针检测到火焰信号继电器吸和门开接触器得电。至少需要 3 秒钟。如果正常时，没有接到开门请求，而检测到了火帘燃烧信号，则可能：火帘检测继电器粘合，人工短路继电器。此时我们的面板上应当有报警提示！这样减少了故障的发生几率。加热电路的设计模式 为了增加可靠性和安全性，加热电路的安全超温接触器和加热接触器必须为两个不同的接触器。对于接触器加热：例图如下：控温接触器超温接触器 图纸来自：陕西法式特 9090项目。对于可控硅加热：例图如下：超温接触器图纸来自：陕西法式特 9090项目。我们的 （DELPHI）沙棘诺，9099，9098，神龙项目均如此。这样有如下优点：一旦加热控制器件损坏（比如：粘连或击穿），则我们的超温器件依然可以安全断开！我们的现场曾经发生过接触器粘连后烧毁相关设备的情况！以上仅仅举了几个例子，其实设计中类似的保障安全的设计非常多。我的观点，首先应当继承 Aichelin的优点。不足之处再加以完善与改进。我们一些新工作的工程师，要继承以前图纸的设计理念，不能随意更改，包括器件的选型！如确实需要更改，需要部门领导的批示。 张金祥 2009-2-21