Приложение L (обязательное). Порядок оценки электромеханической защиты от перегрузки, используемой в целях безопасности, и особенно в условиях взрывоопасной атмосферы

Приложение L
(обязательное)

Порядок
оценки электромеханической защиты от перегрузки, используемой в целях безопасности, и особенно в условиях взрывоопасной атмосферы

L.1 Применение и предмет

L.1.1 Применение

Проведение настоящей оценки не является обязательным - на усмотрение производителя.

Функция электромеханической защиты от перегрузки представляет собой лишь дополнительную меру по снижению риска для систем с приводом от электродвигателей. В дополнение может применяться тепловая защита на основе термодатчика (см. IEC 60947-8).

L.1.2 Предмет

В данном приложении определен порядок обеспечения минимального уровня способности SIL 1 или аналогичного уровня работоспособности, требуемого для работы функционального блока "электромеханической защиты от перегрузки" в целях безопасности. Электромеханическая защита от перегрузки считается частью функции полной безопасности. Для областей применения с низкими требованиями основное внимание уделяют минимизации систематических отказов, которой можно добиться с помощью системы менеджмента качества на протяжении всего жизненного цикла.

Оценка общей функции безопасности на уровне системы не рассматривается в настоящем приложении.

Примечание 1 - В Европе применяют EN 50495.

Примечание 2 - Типичный пример - защита электродвигателя от перегрузки, который находится во взрывоопасной атмосфере (тип защиты "е" по IEC 60079-7).

Примечание 3 - Применяют систему качества по ISO/IEC 80079-34.

L.2 Термины, определения и символы

В настоящем приложении применены следующие термины, определения и символы.

L.2.1 Термины и определения

L.2.1.1 безопасное состояние (safe state): Состояние устройства безопасности, которое обеспечивает безопасное состояние EUC.

Примечание - В данном приложении безопасное состояние - это состояние размыкания цепи двигателя.

L.2.1.2 отказоустойчивость аппаратных средств; HFT (hardware fault tolerance HFT): Способность аппарата продолжать выполнять требуемую функцию при наличии отказов.

L.2.1.3 SIL-способность (SIL-capability): Характеристика функциональных блоков, отвечающих требованиям IEC 61508-2 и IEC 61508-3, подходящим для выполнения функций, которые присвоены по SIL 1, 2 или 3 соответственно.

[IEC 60079-29-3:2014, 3.15]

L.2.1.4 систематический отказ (systematic failure): Отказ, связанный детерминистическим способом с определенной причиной, которая может быть устранена только путем изменения конструкции или производственного процесса, эксплуатационных процедур, документации или других соответствующих факторов.

Примечание 1 - Корректирующее обслуживание без изменения обычно не устраняет причину отказа.

Примечание 2 - Систематический отказ можно спровоцировать, имитируя причину отказа.

Примечание 3 - Примеры причин систематических отказов включают человеческий фактор в части:

- соблюдения норм безопасности;

- разработки, производства, установки и эксплуатации аппаратной части.

[IEC 61508-4:2010, 3.6.6, изменение - удалены третий пример к примечанию 3 и примечание 4]

L.2.1.5 электромеханическая защита от перегрузки (electromechanical overload protection): Защита вращающегося электрического механизма при избыточных температурах, которые являются результатом определенных условий перегрузки, с помощью термомеханического обнаружения, обеспечивающего размыкание цепи нагрузки двигателя.

Примечание - Электромеханическая защита от перегрузки, как правило, обеспечивается тепловыми реле перегрузки или коммутационными аппаратами защиты электродвигателей (MPSD).

L.2.1.6 уровень полноты безопасности; SIL (safety integrity level SIL): Дискретный уровень (один из четырех возможных), соответствующий диапазону значений целостности безопасности, где уровень безопасности 4 - это самый высокий уровень безопасности, а уровень безопасности 1 - самый низкий.

[IEC 61508-4:2010, 3.5.8, изменение - удалены примечания к записи]

L.2.1.7 значение приоритетности риска; RPN (risk priority number, RPN): Один из способов количественного определения критичности, являющийся значением приоритетности риска.

[IEC 60812:2006, 5.3.2]

L.2.2 Символы и сокращения

HFT - отказоустойчивость аппаратных средств;

EUC - управляемое оборудование;

FMEA - анализ видов и последствий отказов;

RPN - значение приоритетности риска;

MPSD - коммутационный аппарат защиты двигателя;

SIL - уровень полноты безопасности;

FRU - сменный блок;

FTA - анализ дерева отказов.

L.3 Процедура

L.3.1 Общие положения

Данная процедура состоит из оценки риска и снижения риска отказа каждой подфункции электромеханической защиты от перегрузки, указанных в L.3.2. Оценка риска должна выявить виды отказов и поведение каждой подфункции, а также определить меры по минимизации риска.

В рамках данной процедуры учитывают любой предыдущий опыт использования, имевшие место несчастные случаи, инциденты и неисправности определенного или аналогичного типа.

Функция безопасности электромеханической защиты от перегрузки состоит из следующих подфункций:

- непрерывное отслеживание тока электродвигателя;

- сравнение измеренного тока с уставкой на основе тока электродвигателя и определение теплового тока перегрузки;

- срабатывание системы расцепления в случае обнаружения теплового тока перегрузки, чтобы разомкнуть цепь нагрузки двигателя.

Функцию безопасности необходимо выполнять надежно в заявленных условиях окружающей среды и рабочих условиях электромеханической защиты от перегрузки.

Примечание - Функция магнитного расцепителя MPSD не является частью данной функции безопасности.

L.3.2 Процесс проектирования с учетом безопасности

Процесс проектирования с учетом безопасности может быть реализован, как показано на рисунке L.1. Каждый пункт должен быть выполнен. Как правило, требуются повторы для максимального снижения риска опасности.

Рисунок L.1 - Процесс проектирования с учетом безопасности

L.4 Требования

L.4.1 Общие сведения

Существующие конструкции, которые подвергали оценке использования в целях безопасности, считают соответствующими базовым принципам данного приложения, и их повторная оценка не требуется.

L.4.2 План безопасности

L.4.2.1 Общие положения

План безопасности, связанный с техническими показателями работоспособности, включает следующие элементы:

- мероприятия, указанные в ходе разработки и реализации, а также при изменениях;

- процедуры и ресурсы, а также информация по обслуживанию функциональной безопасности тепловой защиты от перегрузки:

результаты определения видов опасности и оценки рисков;

процедуры, необходимые для достижения и поддержания функциональной безопасности тепловой защиты от перегрузки;

- план проверки (L.4.2.2).

L.4.2.2 План проверки

План проверки включает следующие элементы:

- выбор стратегий и приемов проверки;

- выбор мероприятий проверки;

- критерии приемлемости;

- оценка результатов проверки;

- функциональная оценка;

- действия, предпринимаемые в случае отказа для обеспечения соответствия критериям приемлемости.

В плане проверки должна быть указана необходимость проведения текущих испытаний, типовых испытаний и/или выборочных испытаний аппаратов с тепловой защитой от перегрузки, а также любые особые испытания, которые могут быть необходимы.

L.4.3 Конструкция

L.4.3.1 Характеристики

Характеристики электромеханической защиты должны быть описаны следующим образом:

- положения 5.7.3 b);

- минимальная SIL-способность 1;

- срок службы;

- условия окружающей среды.

L.4.3.2 Функциональный проект

Функция защиты от перегрузки должна быть разбита на функциональные блоки. Должны быть составлены общие схемы, отражающие все функции, важные для системы. Подробности разбивки будут зависеть от самого анализа видов отказа (см. рисунки L.2 и L.3).

Блок-схема должна, как минимум, содержать следующую информацию:

- разбивка на блоки, когда отказ приведет к потере защиты от перегрузки;

- все должным образом маркированные входы и выходы и средства идентификации для логичного обозначения каждого блока.

L.4.4 Анализ видов и последствий отказов функции безопасности

L.4.4.1 Общие сведения

Электромеханическая защита от перегрузки реализована деталями, устойчивыми к электромеханическим воздействиям без износа. В связи с этим методы вероятностного определения не применимы.

Систематических отказов можно избежать, используя проверенные на практике принципы и систему менеджмента качества на протяжении всего жизненного цикла. Тепловая защита от перегрузки является проверенной технологией, если аппарат разработан в соответствии с требованиями настоящего стандарта. Однако в зависимости от результатов анализа видов и последствий отказов (FMEA) могут потребоваться дополнительные меры.

Опыт показывает, что случайные отказы крайне редки. По этой причине не требуется никаких расчетов, так как частота отказов достаточно низка, чтобы их исключить.

Основной потенциальный пик отказов связан с электромеханическими нагрузками. Риск отказов этих простых конструкций должен быть снижен за счет применения хорошо известных элементов, которые спроектированы на основе инженерно-технических знаний, практического опыта и отчетов о происшествиях. В связи с этим следующий анализ будет сконцентрирован на систематическом отказе.

L.4.4.2 Анализ видов и последствий отказов

Целью FMEA является анализ конструкции путем систематического изучения всех возможных источников отказа компонентов и определения последствий таких отказов для поведения и безопасности средств защиты от перегрузки.

Анализ, как правило, проводят путем проведения собрания инженеров. Каждый компонент подвергают анализу по очереди для определения перечня видов отказов компонента, их причин и последствий (локально и на уровне всей системы), определения процедур и рекомендаций. Если по рекомендациям предпринимаются действия, они должны быть документально зафиксированы как принятые меры по устранению недостатков.

Допускается использовать любой проверенный метод (например, FMEA или FTA, графики Маркова или сети Петри), однако примеры в таблицах L.1, L.2 и L.3 подходят для анализа функции электромеханической защиты от перегрузки.

L.4.5 План проекта

План проекта должен содержать меры на случай неправильных спецификаций, проблем с реализацией или изменениями.

L.4.6 Проверка

Во время процесса проектирования с учетом безопасности (см. L.3.2) и согласно плану проверки (L.4.2.2) после каждой фазы проекта следует проверить и записать выполнение требований фазы проекта. Проверку допускается проводить путем оценки, анализа, изучения, рассмотрения и/или испытания.

Примечание - Проверка, к примеру, может включать следующее:

1) анализ документов соответствующей фазы;

2) анализ проектов;

3) функциональные испытания.

L.4.7 Оценки функций

Когда по результатам проверки (см. L.4.6) можно сделать вывод о том, что все соответствующие требования выполнены, минимальный уровень SIL-возможности 1 считается достигнутым.

L.5 Документация

L.5.1 Документация по технической безопасности

Документация должна содержать следующую информацию:

- отчеты об испытаниях или анализ поведения при отказе, ведущем к утрате функции безопасности, или ссылка на аттестованный пример;

- оценка рисков;

- документация, связанная с решениями, принятыми на основе оценки рисков.

L.5.2 Инструкции по безопасности

Производитель средства электромеханической защиты должен представить инструкции по безопасности в отдельной части руководства по эксплуатации. Инструкции по безопасности должны содержать информацию согласно IEC 60079-14 и необходимую информацию по проектированию и работе связанных с безопасностью систем, например:

- описание аппарата и его функции безопасности;

- относящиеся к безопасности инструкции по установке, калибровке, вводу в эксплуатацию и использованию, в том числе обязательные процедуры проверки;

- номинальные значения для интерфейсов (напряжение, ток, мощность и т.д.);

- соответствующий тип защиты по возможности;

- уровень безопасности (например, SIL-способность) в зависимости от архитектуры системы;

- отказоустойчивость аппаратных средств (HFT);

- безопасное состояние и условие отключения питания;

- интерфейс для функции безопасности;

- условия окружающей среды и рабочие условия;

- пределы срабатывания;

- срок службы.

L.6 Пример

L.6.1 Описание архитектуры

На рисунке L.2 и L.3 показаны примеры функциональной разбивки термореле перегрузки и MPSD (соответственно). См. также приложение В IEC 61508-6:2010.

Рисунок L.2 - Типовая конструкция термореле перегрузки

Рисунок L.3 - Типовая конструкция MPSD

L.6.2 FMEA

Таблица L.1 - Степень тяжести

Уровень	Критичность	Вид отказа
1-4	Незначительный	Вид отказа, который носит незначительный характер без заметного ухудшения показателей работоспособности изделия
5-7	Умеренно значительный	Вид отказа, способный причинить вред одному человеку или отказу системы, который, как правило, обратим или который можно устранить в течение короткого периода времени
8 и 9	Значительный	Вид отказа, способный причинить вред нескольким лицам или ущерб более обширной среде, который, как правило, обратим или который можно устранить в течение продолжительного периода времени
10	Критический	Вид отказа, способный привести к гибели человека или травмам, который, как правило, необратим

Таблица L.2 - Вероятность возникновения

Оценка	Количественный подход. Вероятность отказа
1	Малая вероятность возникновения. Аналогичные детали использовались для аналогичных функций в предыдущих конструкциях, и отказы не выявлены
2 и 3	Низкая частота отказов аналогичных деталей с аналогичными функциями в предыдущих конструкциях
4-6	Умеренная частота отказов аналогичных деталей с аналогичными функциями в предыдущих конструкциях
7 и 8	Частые отказы аналогичных деталей с аналогичными функциями в предыдущих конструкциях
9	Высокая вероятность отказа с почти полной уверенностью его возникновения в больших масштабах
10	Отказ практически гарантированно возникнет в больших масштабах

Таблица L.3 - Уровень обнаружения

Оценка	Обнаружение	Обнаружение неисправности компонента	Обнаружение неисправности системы
1	Почти точно	Контроль конструкции практически точно позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Упредительное обнаружение, определение до отдельного FRU (сменного блока), визуальное указание или отчет
2	Очень высокая	Очень высокая вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Определение до отдельного FRU, визуальное указание или отчет
3	Высокая	Высокая вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Определение до отдельного FRU, стандартное испытательное оборудование
4	Умеренно высокая	Умеренно высокая вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Определение до отдельного FRU, специальное испытательное оборудование
5	Умеренная	Умеренная вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Определение, но не до отдельного FRU, визуальное указание или отчет
6	Низкая	Низкая вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Определение до отдельного FRU, стандартное испытательное оборудование
7	Очень низкая	Очень низкая вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Определение, но не до отдельного FRU, стандартное испытательное оборудование
8	Слабая	Слабая вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Не поддается обнаружению, определению или ведет к неправильному определению
9	Очень слабая	Очень слабая вероятность того, что контроль проекта позволит обнаружить потенциальную причину/механизм и последующий вид отказа	Не поддается обнаружению, не применимо
10	Полная неуверенность	Контроль конструкции не позволит или не определит потенциальную причину/механизм и последующий вид отказа	Опасное действие, не применимо

В таблице L.4 приведены примеры по принятию решений в зависимости от RPN.

Таблица L.4 - Заключение

RPN	Начальный	R1	R2	Окончательный	Действие
1-40	52	51	0	0	Без действия
41-60	2	0	0	0	Рекомендовано действие по снижению числа
61-1000	1	0	0	0	Не приемлемо, действие обязательно для снижения числа

В таблице L.5 приведен пример FMEA - термореле перегрузки.

Таблица L.5 - Пример анализа видов и последствий отказов термореле перегрузки

N	Описание детали	Вид потенциального отказа	Потенциальное последствие отказа функции безопасности				Существующие условия					Результат 1					Результат 2					Окончательно
				SЕV a)	Потенциальные причины отказа	OCC b)	Способ устранения	DЕТ с)	RРN d)	Рекомендованные действия	Статус/ предпринятое действие	SЕV	OCC	DЕT	RРN	Ответственная сторона	SЕV	ОCC	DЕT	RРN	Ответственная сторона	SЕV	ОCC	DЕT	RРN	Ответственная сторона
Система определения (для преобразования тока в сгибание биметаллической пластины)
1	Входное подключение фазы или питания	Плохое соединение одной или нескольких клемм	Нежелательно расцепление в связи с повышением температуры клемм и корпуса	1	Неправильный момент	1	Контроль условий применения функции безопасности	2	2						0
2				1	Плохое соединение (сварка, пайка, зажим и т.п.), поврежденный провод и т.п.	5	Типовое испытание, СМК	5	25						0
3				1	Коррозия	1	Типовое испытание, СМК	4	4						0
4		Обрыв одной фазы	Нежелательное расцепление	1	Плохое соединение (сварка, пайка, зажим и т.п.), поврежденный провод и т.п.	5	Текущее испытание, СМК	5	25						0
5	Нагреватель, трубчатая изоляция, обнаружение, биметалл	Не гнется	Нет расцепления	5	Неправильный биметалл, неправильный материал, неправильный нагреватель, неправильная сварка и т.п.	1	Текущее испытание, СМК	1	5						0
6		Недостаточное сгибание	Отсутствие расцепления или запоздалое расцепление	5	Неправильный биметалл, неправильный материал, неправильный нагреватель и т.п.	2	Текущие испытания расцепления, СМК	5	50	Расширенные выборочные испытания поведения расцепления	Интегрировано в процесс	5	1	2	10
7		Чрезмерное сгибание	Нежелательное расцепление	1	Неправильный биметалл, неправильный материал, неправильный нагреватель и т.п.	2	Текущие испытания расцепления, СМК	5	10						0
8		Неправильное сгибание	Нет расцепления	5	Неправильное крепление биметалла	1	Текущее испытание, СМК	1	5						0
9	Биметаллическая опора	Биметалл не гнется	Нет расцепления	5	Нет необходимой гибкости	1	Текущее испытание, СМК	1	5						0
10		Недостаточное сгибание	Отсутствие расцепления или запоздалое расцепление	5	Нет нужной гибкости	2	Текущие испытания расцепления, СМК	5	50	Контроль после сваривания биметалла к кронштейну	Интегрировано в процесс	5	1	2	10
11		Чрезмерное сгибание	Нежелательное расцепление	1	Нет необходимой гибкости	2	Текущие испытания расцепления, СМК	4	8						0
12		Неправильное направление сгибания	Нет расцепления	5	Нет доказательства конструкции	1	Текущее испытание, СМК	1	5						0
13	Выходное соединение нагрузки	Плохое соединение одной или нескольких клемм	Нежелательное расцепление в связи с повышением температуры клемм и корпуса. Чрезмерное сгибание биметаллического датчика	1	Неправильный момент	1	Контроль условий применения функции безопасности	2	2						0
14		Размыкание	Нежелательное расцепление	1	Плохое сваривание, поврежденный провод и т.д.	1	Текущее испытание, СМК	5	5						0
15	Рычаг или ползунок отключения фазы	Сверхток не обнаружен	Нет расцепления	5	Ползунок сломан	1	Текущее испытание, СМК	1	5						0
16		Сверхток не обнаружен	Нет расцепления	5	Ползунок залип	2	Текущее испытание, СМК	1	10						0
17		Сверхток не обнаружен	Нет расцепления	5	Ползунок сместился	3		5	75	Изменение конструкции	Более надежная фиксация; обнаружение неправильной сборки	5	1	1	5
18		Сверхток не обнаружен	Нет расцепления	5	Ползунок расплавился/ неправильный материал	1	СМК	5	25						0
19		Сверхток не обнаружен или обнаружен поздно	Нет расцепления	5	Ползунок расплавился/ неправильный материал	1	СМК	5	25						0
20	Рычаг или ползунок отключения фазы	Неисправность фазы не обнаружена	Нет расцепления	5	Ползунок сломан	1		5	25						0
21		Неисправность фазы не обнаружена	Нет расцепления	5	Ползунок залип	2		1	10						0
22		Неисправность фазы не обнаружена	Нет расцепления	5	Ползунок сместился	3	СМК	5	75		Более надежная фиксация; обнаружение неправильной сборки	5	1	1	5
23		Неисправность фазы не обнаружена/ обнаружена с задержкой	Нет расцепления/ запоздалое расцепление	5	Ползунок расплавился/ неправильный материал	1	СМК	5	25						0
24	Компенсация биметалла	Не гнется	Нет компенсации температуры/ нет расцепления или преждевременное расцепление	5	Неправильный биметалл	1		5	25						0
25		Недостаточное сгибание	Преждевременное расцепление	1	Неправильный биметалл или форма	1		5	25						0
26		Чрезмерное сгибание	Запоздалое расцепление	5	Неправильный биметалл или форма	1		4	20						0
27		Неправильное направление сгибания	Преждевременное расцепление	1	Неправильный биметалл или направление	1		4	4						0
28	Регулятор уставки тока	Неправильная уставка тока	Преждевременное/ запоздалое расцепление/ нет расцепления	5	Неправильная печать	5		5	125	Производственный контроль, например, визуальный осмотр	Контроль печати	5	2	2	20
29		Неправильная уставка тока	Преждевременное/ запоздалое расцепление/ нет расцепления	5	Неправильное совмещение эксцентрика	5		5	125	Изменение конструкции	Тщательная проработка	5	2	1	10
30		Изменение уставки	Преждевременное/ запоздалое расцепление/ нет расцепления	5	Недостаточное трение	3		1	15						0
31				5	Потеря трения ввиду старения	5		6	150	Действие 1: аттестационное испытание, например ускоренное старение с оценкой трения (HALT)	Контроль трения	5	2	2	20
32	Уплотнитель	Изменение уставки	Преждевременное/ запоздалое расцепление/ нет расцепления	5	Неудачная конструкция	2		2	20						0
Расцепитель
33	Механизм расцепления	Изменений в состоянии контакта нет	Нет расцепления	5	Сломанные детали	1		1	5						0
34				5	Залипание	1		1	5						0
35			Нет расцепления/ запоздалое расцепление	5	Чрезмерное трение	3		1	15						0
36	Кнопка остановки/ проверки	Изменений в состоянии контакта нет	Нет сброса	1	Чрезмерное трение	1		3	3						0
37	Кнопка авто/ ручной/ сброс	Переключение в автоматический режим сброса	Нежелательный сброс	5	Повреждена кнопка или пружина	1		5	25						0
38				5	Недостаточное трение	1		5	25						0
39	Нормально замкнутый контакт	Изменений в состоянии контакта нет	Двигатель не останавливается	5	Сваривание контактов	1		4	5						0
40			Нарушена целостность/ нет тока	1	Повреждена деталь	1		1	1						0
41				1	Загрязнение	4		5	20						0
42				1	Повреждены контакты	1		1	1						0
43				1	Поврежден контактный мост	3		5	15						0
44		Сваривание нормально замкнутого контакта	Нет защиты двигателя	5	Неправильная категория АС-15/ DC-13 по контактору или неподходящее УЗКЗ	1	Контроль условий применения функции безопасности	1	5						0
45				5	Неподходящее УЗКЗ, предохранитель или ЗМТ	1	Контроль условий применения функции безопасности	1	5						0
46	Нормально разомкнутый контакт	Изменений в состоянии контакта нет	Неправильная сигнализация	1	Сваривание контактов	1		1	1						0
47			Нарушена целостность/ нет тока	1	Повреждена деталь	1		1	1						0
48				1	Загрязнение	4		5	20						0
49				1	Повреждены контакты	1		1	1						0
50				1	Поврежден контактный мост	3		5	15						0
Корпус
51	Корпус	Повреждение изоляции	Короткое замыкание между фазами или фазой и вспомогательными элементами. Контакты	5	Неправильная форма или повреждение	1	Текущее испытание, типовое испытание	1	5						0
52				5	Долгосрочная деградация материала	3	Типовое испытание (проверка ОТИ)	5	75	Проверено в эксплуатации	Выполнено	5	1	5	25
53				5	Повреждение при перевозке	3	Подходящая конфигурация упаковки и испытание на падение	1	15						0
54		Механический отказ	Нет расцепления, преждевременное или запоздалое расцепление	5	Утрата эксплуатационных характеристик материала	1		5	25						0
a) SEV - степень тяжести (см. таблицу L.1). b) ОСС - оценка вероятности (см. таблицу L.2). с) DET - оценка уровня обнаружения (см. таблицу L.3). d) RPN рассчитывают следующим образом: .