Veiligheidsbus
Veiligheidstechniek evolueert met rasse schreden

Machinebeveiliging wordt steeds belangrijker, omdat steeds meer machines automatisch werken en het bedienend of andere personeel tegen mogelijke gevaren moeten worden beschermd. Daar deze techniek op het gebied van de laatste snufjes uit veiligheidsoverwegingen toch vrij conservatief is, moeten we stellen dat de tendenzen op langere termijn toch gevolgd worden. Zo ook op dit moment wanneer de veiligheidstechniek weer een enorme sprong voorwaarts maakt met de introductie van de veiligheidsbus.

Version française

Op de nederlandse beurs "Het Instrument" werd door Pilz een applicatie getoond van de Fail-Safe-bus: "SafetyBUS p". Het betrof hier een combinatie van een meerstraals veiligheidslichtscherm van de firma Sick, type MSL, met een veiligheidsbesturing van Pilz, type PSS 3056, en enkele Fail-Safe-I/O-modulen. Dit seriële veiligheidssysteem voldoet aan de hoogste veiligheidseisen namelijk risicocategorie 4 volgens NEN-EN 954-1 en Anforderungsklasse 6 (AK 6) volgens de Duitse industrienorm DIN V 19250. In dit artikel worden de bijzondere eigenschappen van dit nieuwe open veiligheidsbussysteem verklaard, maar eerst zullen we even stilstaan bij de evolutie en problematiek die de veiligheidstechniek heeft doorgemaakt.

Risicobepaling en -reductie

Elke machine levert gedurende zijn levenscyclus bepaalde gevaren op, die een risico vormen voor de personen die ermee werken, zoals onder andere de machinebediener, de onderhoudsman en de schoonmaker. In eerste instantie dient het bestaande risico te worden gereduceerd door middel van niet-besturingstechnische, constructieve maatregelen zoals het plaatsen van een vaste afscherming voor de gevaarlijke, bewegende delen. Een vaste afscherming (vastgelast of -geschroefd) kan alleen worden toegepast indien de bediener tijdens de gewone werking niet in de gevaarlijke zone hoeft te zijn. Indien toegang tijdens de gewone werking van de machine voor bijvoorbeeld de in- en uitvoer van het product noodzakelijk is, dient gebruik te worden gemaakt van een blokkeerscherm, tweehandenbediening of een veiligheidslichtscherm. Deze besturingstechnische veiligheidsmaatregelen moeten zorgen voor een onderbreking van de voedingspanning naar de gevaarlijke aandrijvende delen bij het betreden van de gevaarlijke zone.

Wat zijn de regels?

De begrippen Machinerichtlijn en CE-markering roepen voor de meeste bedrijven geen vragen meer op en zijn in het huidige vakjargon opgenomen.
De meeste machinefabrikanten leveren op dit moment hun nieuwe machines al met CE-markering en hebben de veiligheid van hun machines vergroot. Toch blijkt uit een onlangs verschenen onderzoek van de Arbeidsinspectie, gehouden bij 116 bedrijven uit diverse branches, dat veel bedrijven nog steeds worstelen met de implementatie van de Machinerichtlijn. Bijna de helft van de doelgroep voldoet niet aan de voorschriften met betrekking tot het leveren van machines. Bij 46 procent van de bedrijven zijn tekortkomingen geconstateerd uiteenlopend van onvoldoende gedocumenteerde machines tot machines die ontoelaatbaar risico opleveren. De Europese norm NEN-EN 954-1 behandelt de algemene ontwerpbeginselen en -eisen, waaraan de besturingstechnische veiligheidsfuncties van een machine, ongeacht de energiesoort (elektrisch, hydraulisch, pneumatisch of mechanisch), moeten voldoen. De vele veiligheidsfuncties, zoals noodstop, tweehandenbediening, hekbewaking enzovoorts dienen op grond van de Europese norm NEN-EN 60204-1 te zijn uitgerust met elektromechanische onderdelen met vaste bedrading. Bovendien mag de werking van de veiligheidsfunctie niet afhankelijk zijn van elektronische logica (apparatuur of programmatuur). Het gebruik van een standaard PLC-besturing, een industriële computer met remote I/O’s, of een ander type controller met I/O’s voor de verwerking en uitvoering van besturingstechnische veiligheidsfuncties (noodstop, hekbewaking etc.) is dus verboden. Dit brengt met zich mee dat een veiligheidscircuit met externe veiligheidscomponenten dient te worden opgebouwd.

Conventionele veiligheidsrelais

Het is in het verleden meerdere malen gebleken dat een normaal elektromechanisch hulprelais – dat gebruikt wordt om op commando van een besturingsorgaan de stuurstroom uit te schakelen – steeds de zwakste schakel in de veiligheidsvoorziening is. Omdat een conventioneel relais niet zulke inherente veiligheidseigenschappen bezit en het meestal in de ‘gesloten’ positie faalt, is het duidelijk dat dit de integriteit van het gehele veiligheidscircuit in gevaar kan brengen.

In 1986 werd door Pilz het eerste veiligheidsrelais PNOZ ontwikkeld. De interne schakeling van de PNOZ is redundant opgebouwd en bezit zelfcontrole waardoor een enkele fout niet tot verlies van de veiligheidsfunctie leidt. De PNOZ bespaarde de gebruiker ten opzichte van een schakeling bestaande uit losse relais, naast 50% schakelkastruimte ook veel bedradings- en testtijd.
In de periode die daarop volgde, erkende men dat met dit veiligheidsrelais ook beweegbare afschermingen en lichtschermen op functionaliteit en positie bewaakt konden worden.

Fail-Safe-PLC’s

Omdat de veiligheidstechnische machinefuncties steeds complexer werden en hun aantal toenam kwam Pilz in 1995 met haar eerste programmeerbare veiligheidsbesturing op de markt: een PLC (PSS-familie) met verhoogde eisen ten aanzien van hardware en software, inzake foutdetectie, faalkans en de reactie op fouten. Wezenlijke kenmerken van deze besturingen zijn de toegepaste redundantie en de uitgebreide en continu uitgevoerde zelftestfuncties. De besturing heeft drie verschillende CPU’s (drievoudig diversitair redundant) die in één systeem zijn geïntegreerd en het gebruikersprogramma separaat afwerken. Dankzij de drie kanalen kan de vereiste zelftest over een langere zelftesttijd worden uitgespreid dan bij tweekanalige systemen. Dit leidt ertoe dat de cyclustijd minder door de zelftests wordt beïnvloed en daarmee ook snelle machines zoals een excenterpers kunnen worden bestuurd.

Op het gebied van communicatie heeft men met deze Fail-safe-PLC een serieuze stap voorwaarts gedaan: zo heeft elke besturing een RS-232-poort en voor de programmering een RS-485-poort en behoort koppeling met bussystemen als Interbus, DeviceNet en Profibus tot de mogelijkheden.

Fail-Safe-bussystemen doen nu hun intrede

In de niet-veilige signaalverwerking worden steeds meer bussystemen toegepast. De voordelen van een bus liggen in de geringe hoeveelheid bedrading, de decentrale verwerking en de transparante opbouw. Dit wordt vooral duidelijk bij het onderhoud en het storingzoeken. Om deze voordelen ook beschikbaar te maken voor de veiligheidstechniek is het open veldbussysteem SafetyBUS p ontwikkeld en in 1997 geïntroduceerd op de beurs EMO in Duitsland. SafetyBUS p is gebaseerd op de veldbus CAN (Controller Area Network), die veilig is gemaakt door middel van een additioneel protocol en de toepassing van speciale hardware. Er is namelijk boven de eerste twee lagen van het zevenlaagse ISO/OSI-referentiemodel een specifieke applicatielaag gemaakt voor de veiligheidsmaatregelen. Door dit veilige protocol en de verwerking van de signalen met goedgekeurde redundante hardware, kan het totale systeem ingezet worden tot en met risicocategorie 4 volgens NEN-EN 954-1.

SafetyBUS p is een zogeheten multi-master-bus, dat wil zeggen dat verschillende busmasters gelijktijdig toegang tot de bus kunnen vragen. Er kunnen maximaal 64 busdeelnemers worden aangesloten en in totaal 1008 Fail-Safe-I/O-punten worden aangestuurd. De busbekabeling is vieraderig, namelijk twee aders voor de voeding en twee aders voor de communicatie. De maximale buslengte is 500 meter en de hoogste overdrachtssnelheid bedraagt 500 kbit/s. De informatievoorziening via de bus is actiegestuurd, terwijl verbindingscontrole van de aangesloten busdeelnemers tijdgestuurd gebeurt.

Koppelingen

Het veiligheidsbussysteem SafetyBUS p kan via een PSS-veiligheidsbesturing gekoppeld worden met een aantal veel voorkomende industriële netwerken, zoals Profibus DP, Interbus-S en DeviceNet.

Voor deze netwerken zijn modulen beschikbaar die vanuit het standaarddeel van een PSS-systeem kunnen worden aangesproken. Er kunnen vanzelfsprekend geen Fail-Safe-signalen met deze eerder genoemde bussystemen worden verwerkt. Ze kunnen bijvoorbeeld wel worden ingezet voor het doorgeven van (fout-)meldingen en data naar een andere besturing of een SCADA-pakket. Ook handig om weten is dat veiligheidslichtschermen van het type PLS, FGS en MSL van de firma Sick leverbaar zijn in een SafetyBUS-p-uitvoering.

En voor wie dit nog niet innovatief genoeg is, is er nog dit jaar voor de gebruikers van soft-PLC’s (Real Time PC’s) de introductie van de veiligheidsveldbus SafetyBUS p voor de PC, een veilige insteekkaart voor de ISA-bus. Deze insteekkaart, Slot-PSS genaamd, combineert de functies van een veiligheidsbesturing met SafetyBUS p. De speciale opbouw van de kaart biedt redundantie, die samen met de toegepaste algoritmen de realisering van veiligheidstechnische applicaties tot en met risicocategorie 4 volgens NEN-EN 954-1 mogelijk maken.

Interbus Safety

Naast het SafetyBUS-p-netwerk is op de Hannover Messe 1998 ook een tweede veiligheidsbus, de Interbus Safety, voorgesteld. Zoals de naam al laat zien, is deze bus gebaseerd op het wijd verbreide en geaccepteerde veldbussysteem Interbus. De uitbreiding en toepassing van Interbus voor veiligheidsrelevante toepassingen geschieden in nauwe samenwerking met Phoenix Contact. Hiermee kan de knowhow van beide firma’s synergetisch ten gunste van de gebruiker worden ingezet. Ook Interbus Safety kan net als SafetyBUS p worden ingezet tot en met de hoogste risicocategorie.

Bovendien maakt Interbus Safety de integratie tussen de veiligheidsbus en de standaard Interbus mogelijk, wat het voordeel oplevert dat de gebruiker zijn vertrouwde inbedrijfname- en diagnosetools ook kan gebruiken voor de opbouw en het onderhoud van de veiligheidsbus. De in de buswereld veelvuldig toegepaste, robuuste glasvezeltechniek is in plaats van de meer storingsgevoelige koperbekabeling ook met Interbus Safety mogelijk. Beide veiligheidsbussen zijn "open bussystemen", dit betekent dat het protocol en de chipset openbaar gemaakt zijn en daarmee aan alle fabrikanten van veiligheidsproducten die dat wensen, ter beschikking wordt gesteld.

Besluit

Er is op dit moment een omvangrijk spectrum aan oplossingen voor veiligheidsfuncties in de automatiseringstechniek verkrijgbaar.

Veiligheidsrelais worden in steeds kleinere uitvoeringen gerealiseerd en zijn voor vele toepassingen geschikt. Bovendien kan bij hoge complexiteit of een veelheid aan veiligheidsfuncties op dit moment een programmeerbare veiligheidsbesturing PSS worden ingezet. Voor ruimtelijk verspreide of modulair opgebouwde installaties is een Fail-Safe-bus goed toepasbaar, waarbij als master een programmeerbare veiligheidsbesturing PSS of een IPC met Slot-PSS, kan worden toegepast.

Deze systemen bieden een economische en tegelijkertijd op de toekomst gerichte oplossing en zorgen er met de bijbehorende informatievoorziening voor dat de absolute veiligheid voor mens en machine gewaarborgd wordt

Ing.X.De Buysscher (met dank aan ing.N de With – Pilz)

La protection vis-à-vis des machines devient chaque jour plus importante dans la mesure où de plus en plus de machines fonctionnent de façon automatique et qu’il y a lieu, en conséquence, de protéger le personnel les commandant et plus généralement toute personne contre tout risque d’atteinte de leur sécurité physique. Comme cette technique est - sur le plan des dernières nouveautés pour accroître la sécurité - assez conservatrice, il nous faut quand même constater que les tendances à long terme sont bien suivies. C’est le cas actuellement, un énorme pas vers l’avant venant d’être franchi avec l’introduction du bus de sécurité.

A la foire «Het Instrument» aux Pays-Bas, une application du bus à sûreté intégrée (Fail-Safe bus) fut présentée par Pilz: le «SafetyBUS p». Ceci concernait une combinaison de faisceaux lumineux multiples de sécurité de la firme Sick, du type MSL, avec commande de sécurité de Pilz, du type PSS 3056, et quelques modules I/O à sûreté intégrée. Ce système de sécurité sériel satisfait aux plus hautes exigences de sécurité, notamment à la catégorie de risque 4 selon NEN-EN 954-1 et à l’»Anforderungsklasse 6 (AK 6)» selon la norme industrielle allemande DIN V 19250. Dans cet article, les propriétés particulières de ce nouveau système de bus de sécurité sont exposées, mais nous allons en premier lieu nous arrêter à l’évolution et à la problématique que la technique de sécurité a connues.

Chaque machine présente, durant son cycle de vie, certains dangers qui entraînent un risque pour les personnes qui l’utilisent, entre autres son opérateur, son technicien de maintenance et la personne qui doit la nettoyer. En première instance, le risque existant doit être réduit au moyen de mesures constructives et non directement liées à la commande de ces machines, comme par exemple l’installation de tôles et capots autour des parties mobiles potentiellement dangereuses. Une telle protection fixe (soudée ou vissée) est envisageable seulement si l’opérateur ne doit pas, durant le fonctionnement normal de la machine, évoluer dans la zone dangereuse. Au cas où un accès à cette zone doit être possible lors du fonctionnement normal de la machine, par exemple pour y amener ou en retirer des produits, il y a lieu d’utiliser un écran de blocage, la technique de la commande à deux mains ou un rideau de faisceaux lumineux de sécurité. Ces mesures de sécurité techniques de commande doivent provoquer, lors de l’intrusion dans la zone dangereuse, l’interruption de la tension d’alimentation des parties en mouvement susceptibles de présenter du danger.

Quelles sont les règles ?

Les concepts de «Directives de Machine» et de marquage CE ne suscitent plus de questions au sein de la plupart des entreprises, et font maintenant bien partie du jargon du métier. La plupart des constructeurs de machines livrent déjà à présent leurs nouvelles machines avec marquage CE, et en ont bien amélioré la sécurité. Des résultats d’une enquête récente de l’Inspection du Travail menée dans 116 entreprises de diverses branches, il apparaît cependant que bon nombre d’entre elles se débattent encore avec la mise en pratique des Directives de Machine. Quasiment la moitié de l’échantillon observé ne satisfait pas aux prescriptions relatives à la livraison de machines. Dans 46 % de ces entreprises, des carences furent constatées, qui résultent de machines incomplètement documentées ou qui présentent même un niveau de risque inadmissible. La Norme Européenne NEN-EN 954-1 expose les principes et exigences de projet auxquels les fonctions de sécurité de technique de commande doivent satisfaire, et ce indépendamment de l’énergie utilisée (électricité, hydraulique, pneumatique ou mécanique). Les nombreuses fonctions de sécurité, telles que l’arrêt d’urgence, la commande à deux mains, la protection par écran, etc., doivent, sur base de la Norme Européenne NEN-EN 60204-1, être équipées d’éléments électromécaniques à câblage fixe. De plus, le fonctionnement de la fonction de sécurité ne peut pas dépendre de la logique électronique (câblée ou programmée). L’utilisation d’une commande PLC standard, d’un ordinateur industriel avec I/O distants, ou de tout autre type d’appareil de contrôle muni d’I/O pour le traitement et l’exécution de fonctions de sécurité de technique de commande (arrêt d’urgence, protection par écran, etc.) est donc interdite. Ceci conduit à devoir établir le circuit de sécurité en utilisant des composants de sécurité externes.

Dans le passé, il a été constaté à plusieurs reprises qu’un relais électromécanique auxiliaire classique - qui est utilisé pour couper le courant de commande d’un organe de commande - constitue toujours le point faible du dispositif de sécurité. Etant donné qu’un relais conventionnel ne possède pas de propriétés de sécurité inhérentes et qu’il défaille généralement en position ‘fermée’, il est clair que cet élément peut mettre en danger l’intégrité de la totalité du circuit de sécurité. Le premier relais de sécurité PNOZ a été développé en 1986 par Pilz. Le montage interne du PNOZ est réalisé de façon redondante et comprend un test automatique grâce auquel une erreur simple ne provoque pas la perte de la fonction de sécurité. Par rapport à un montage fait de relais séparés, le PNOZ permet à l’utilisateur d’économiser 50% de place dans les coffrets de commande ainsi que le temps qu’il eût fallu consacrer au câblage et au test. Par la suite, il fut reconnu que ce relais de sécurité permettait également la surveillance de la position et du bon fonctionnement d’écrans de protection mobiles et de faisceaux lumineux.

PLC à sûreté intégrée

Après avoir considéré que les fonctions de machine liées à la technique de sécurité deviennent de plus en plus complexe et que leur nombre est en constante augmentation, Pilz introduisit sur le marché en 1995 sa première commande de sécurité programmable : un PLC (de la famille PSS) qui répond à des critères stricts, tant au niveau du matériel que du logiciel, en matière de détection d’erreur, de probabilité de défaillance et de réaction aux erreurs. Les caractéristiques essentielles de ces commandes sont leur redondance appliquée et leur fonctions étendues de test automatique qui sont exécutées de façon continue. La commande possède trois CPU différents (triplement diversement redondants) qui sont intégrés dans un système unique et qui effectuent séparément le programme d’utilisateur. Grâce à la présence des trois canaux, le test automatique requis peut être réparti sur une période plus longue qu’avec un système à deux canaux. Ceci diminue l’influence des tests automatiques sur la période du cycle, et permet la commande de machines rapides, telles que des presses à excentrique. Sur le plan de la communication, ce PLC à sûreté intégrée a permis une sérieuse avancée: chaque commande possède ainsi une porte RS-232 et également une porte RS-485 pour la programmation; la connexion à des systèmes de bus comme Interbus, DeviceNet en Profibus appartient au domaine des possibilités.

Les systèmes de bus sont de plus en plus appliqués dans le traitement de signaux non sûrs. Les avantages d’un bus résident dans son câblage réduit, son traitement décentralisé et sa construction transparente. Ces avantages sont particulièrement appréciés lors de la maintenance et de la recherche de pannes. Afin de faire bénéficier également la technique de sécurité de ces avantages, le système de bus de champ SafetyBUS p fut développé et présenté en 1997 à la bourse EMO en Allemagne. Le SafetyBUS p est basé sur le bus de champ CAN (Controller Area Network), dont la sûreté est réalisée au moyen d’un protocole additionnel et par application d’un matériel spécial. Il existe notamment, au-dessus des deux premières couches du modèle de référence ISO à sept couches, une couche d’application spécifique aux mesures de sécurité. Grâce à ce protocole sûr et au traitement des signaux par du matériel redondant approuvé, le système complet peut être mis en oeuvre jusque et y compris la catégorie de risque 4 selon NEN-EN 954-1.

SafetyBUS p est un système dit ‘multi-master-bus’, ce qui signifie que différents maîtres de bus (busmasters) peuvent simultanément demander l’accès au bus. Un maximum de 64 participants peuvent être raccordés au bus, et un total de 1008 points d’I/O à sûreté intégrée sont pilotés. Le câblage du bus comprend quatre conducteurs, à savoir deux pour l’alimentation et deux pour la communication. La longueur de bus maximale est de 500 mètres et la vitesse de transfert la plus élevée est de 500 kbit/s. L’approvisionnement en information via le bus est commandée par actions, tandis que le contrôle de connexion des participants connectés au bus s’opère en fonction du temps.

Le système à bus de sécurité SafetyBUS p peut être connecté, via une commande de sécurité PSS, à un nombre de réseaux industriels de plus en plus fréquemment présents, comme Profibus DP, Interbus-S et DeviceNet.

Des modules sont disponibles pour ces réseaux, qui peuvent être interrogés à partir de la partie standard d’un système PSS. Aucun signal à sûreté intégrée ne peut, évidemment, être traité par les systèmes de bus prénommés. Ils peuvent, par exemple, être mis en oeuvre pour la transmission de messages (d’erreur) et de données vers une autre commande ou vers un paquet SCADA. Il est bon de noter que les rideaux lumineux de sécurité du type PLS, FGS et MSL de la firme Sick sont livrables dans une exécution SafetyBUS-p.

Et pour ceux qui pensent que ceci n’est pas encore assez innovateur, il y a encore cette année - à l’intention des utilisateurs de soft-PLC (Real Time PCs) - la présentation d’un bus de champ de sécurité SafetyBUS p pour PC, une carte enfichable sûre pour le bus ISA. Cette carte enfichable, nommée Slot-PSS, combine les fonctions d’une commande de sécurité reliée au SafetyBUS p. La construction spéciale de la carte offre de la redondance qui, grâce aux algorithmes appliqués, permet la réalisation d’applications de technique de sécurité jusque et y compris la catégorie de risque 4 selon NEN-EN 954-1.

Outre le réseau SafetyBUS-p, un deuxième bus de sécurité fut présenté à la foire de Hanovre (Hannover Messe)1998, l’Interbus Safety. Comme son nom l’indique, ce bus est basé sur le système de bus de champ Interbus qui est largement présent et accepté. L’extension et l’utilisation d’Interbus dans le cadre d’applications de sécurité s’opèrent en étroite collaboration avec Phoenix Contact. De la sorte, le know-how des deux firmes est mis en oeuvre dans une synergie qui est tout à l’avantage de l’utilisateur. Interbus Safety peut également, tout comme SafetyBUS p, être mis en oeuvre jusque et y compris la plus haute catégorie de risque.

En outre, Interbus Safety permet l’intégration entre bus de sécurité et Interbus standard, ce qui présente l’avantage - pour l’utilisateur - de pouvoir utiliser ses outils habituels de diagnostic et de mise en service lors de l’établissement et de la maintenance du bus de sécurité. L’utilisation de robustes fibres optiques, déjà fort répandues dans le monde des bus, en lieu et place de câbles de cuivre plus sensibles aux interférences, est également possible avec Interbus Safety. Les deux bus de sécurité sont des «systèmes de bus ouverts», ce qui signifie que le protocole et la disposition des puces sont rendus publics et sont donc accessibles et mis à la disposition de tous les constructeurs de produits de sécurité.

Il y a en ce moment une gamme étendue de moyens disponibles pour l’exécution des fonctions de sécurité dans la technique d’automatisation.

Des relais de sécurité sont réalisés dans des exécutions de plus en plus compactes, et conviennent à beaucoup d’applications. En outre, on peut faire appel à des commandes de sécurité PSS programmables dans le cadre de l’exécution de fonctions de sécurité nombreuses ou complexes. Pour des installations modulaires ou réparties dans l’espace, un bus à sûreté intégrée est certainement le bon choix; une commande de sécurité PSS programmable ou un IPC avec Slot-PSS peuvent y être mis en oeuvre pour y assumer la fonction de maître.

Ces systèmes constituent une solution à la fois économique et dirigée vers l’avenir et permettent, en conjonction avec la fourniture d’informations annexes, de garantir à l’homme et à la machine une sécurité absolue.

Ing.X.De Buysscher (avec remerciements à Ing N de With – Pilz)