基于ISO13849的核电数控桥式起重机电气控制回路的可靠性分析

2022-12-08张华龙郑正国李忠为

装备制造技术 2022年9期

张华龙，郑正国，李忠为

（株洲天桥起重机股份有限公司，湖南株洲 412000）

0 引言

核电数控桥式起重机主要用于燃料后处理示范厂放射性产品存放桶等危险载荷的吊运和定位码放，作业环境特殊。为减小对操作和检修人员的危害，要求运行于其内的起重机必须安全可靠。因此，在设计阶段，首先引入了基本安全标准GB/T15706[1]，对起重机在使用过程中存在的危险进行识别；其次引入GB/T16856[2]对已识别的危险进行风险估计和评估，对较大和不能接受的风险采用相应的手段进行风险减小，并采用风险迭代分析方法，直至此类风险已充分减小到能够被接受，且不引入其他不能接受的风险。根据风险评估的结果，核电数控起重机电气控制系统的起升机构的超上限安全回路、紧急停止安全控制回路、起升超速安全回路以及大小车运行控制回路均需采取进一步措施降低风险；最后结合安全标准GB/T16855.1-2018/ISO13849-1[3]对上述需要风险减小的起重机控制系统安全回路进行验证，保证数控桥式起重机能够稳定可靠地工作。

1 风险评估

风险评估的过程主要包括起重机械限制的确定、危险识别、风险估计、风险评价。

起重机械限制的确定包括使用限制、空间限制、时间限制和其他限制。危险识别主要目的是对起重机运输、安装、试运转、使用、维护以及拆卸报废过程中存在的危险因素、危险状态、危险源等进行识别，并根据识别的危险列出危险清单，为后一步采取措施减小或消除危险做准备。风险估计是根据危险识别的清单和确定的风险要素，对每种危险状态进行风险估计，确定伤害可能达到的严重程度和伤害发生的概率。风险评价是在机械限制确定后，并在危险识别和风险估计的基础上，判断是否已达到风险减小的目的，如需要风险减小，则应选用适当的保护措施[1]。

根据风险评估的结果，对不能接受的风险，需要进一步采取减小风险的措施，直至该风险能够被接受并不引入其他风险。本研究仅探讨电气控制系统的可靠性，因此仅从电气控制方面存在的风险进行阐述。风险评估完后，确定需要采取进一步措施降低风险的电气控制回路有：起升机构的超上限安全回路、紧急停止安全控制回路、起升超速安全回路以及大小车运行控制回路。

确定了需要降低风险的电气安全控制回路后，需要再根据ISO13849-1附录A，确定上述各电气安全控制回路所需的性能等级（PLr），才能达到电气安全控制回路风险，使之降低到能接受的程度。根据S(受伤害严重程度)、F(暴露于风险的频率或持续时间)、P(避免危险的可能性)确定性能等级的方法，见图1。此处以起升机构的超上限安全回路为例，根据此风险图进行分析，受伤害严重程度为S2（起升超上限位失灵后，起升机构会发生严重的机械碰撞或掉落，对在其下面的人员可能会造成不可恢复的伤害或死亡），暴露于风险的频率为F1（起升升降正常情况都为停止开关停车，暴露时间小于总工作时间的1/20），避免危险的可能性为P2（起升超上限位失灵后，时间短暂，很难按下急停按钮，避免碰撞事件发生），因此，起升机构的超上限安全回路需要达到的性能等级为PLd；以上S2、F1、P2数据是根据风险评估小组评审讨论后得出的[3]。

图1 风险评估

2 控制系统安全回路设计

当确定电气安全控制回路的PL等级后，下一步应该确定回路的类别，ISO13849-1给出了五种类别，即类别B、类别1、类别2、类别3、类别4，每种类别都对应各自不同的架构，此处不对类别做详述。

再以起升机构的超上限安全回路性能等级PLd为例，根据图2（同ISO13849-1图5），若要达到PLd，则需要选择类别2或类别 3；如选择了类别2，每个通道的平均危险失效间隔时间（MTTFD）为高，诊断覆盖率（DCavg）为低或中；如选择了类别3，每个通道的MTTFD为中或高，DCavg为低或中。设计从实现的方便性考虑，起升机构的超上限安全回路选择了类别3，类别3对应的指定架构如图3（同ISO13849-1图11），架构3的输入检测回路、逻辑控制模块、输出控制回路均为冗余架构[4]。

图2 PL与类别、DCavg及每个通道的MTTFD关系

图3 类别3的指定架构

2.1 控制系统的设计选型

根据ISO 13849-1，类别3对应的双逻辑控制模块，并且两个模块的信号需要交叉监控，因此设计选型采用西门子S7-1500系列安全型PLC（CPU 1513F）和安全型数字量输入模块和安全型数字量输出模块，安全型PLC通过冗余设计实现功能安全，原理为每个模块内部均有两个小型控制器；这两个控制器相互交叉监视，并同时执行相同功能代码，自动测试彼此I/O回路，如发生故障将故障安全信号模块设置为安全状态[5]。

CPU 1513F使用故障安全Profisafe总线规约与故障安全信号模块、变频器、绝对值编码器等进行通信。对于双输入冗余传感器，传感器1采用重锤限位开关，传感器2采用绝对值编码器；冗余输出控制回路1控制主接触器通断，冗余输出控制回路2控制起升机构变频器输出。图4为控制系统拓扑图，图5为根据类别3设计的起升超上限安全回路架构图[2]。

图4 控制系统拓扑

图5 起升超上限安全回路架构

2.2 安全控制回路的设计

根据起升超上限安全回路架构图，设计了起升机构的双回路控制原理图。

回路1，直接通过重锤限位开关控制总电源接触器的线圈，当重锤开关A1SL61动作后，B1KA01中间继电器动作，断开总电源接触器B1KM00/01线圈电源，总电源接触器失电断开，因此起升机构电源失电，起升机构停止上升，详见图6和图7。

图6 总接触器控制电路

图7 总接触器主电路

回路2，通过绝对值编码器A1BV01监控起升机构高度，绝对值编码器通过Profinet总线接入控制系统，安全型PLC（CPU 1513F）通过总线时刻读取并监测绝对值编码器的位置信息，当超过了高度阈值后，通过总线发送控制停止命令字给起升变频器B2UFM1停止运行，制动器立即抱闸，此时起升机构停止上升，详见图4。

3 控制回路PL等级验证

根据ISO13849-1的要求，需要对每个通道的MTTFD、CCF、DCavg、类别、软件和PL进行量化，验证设计及选型等的正确性。

3.1 MTTFD验算

与供应商联系，取得了各选型产品的MTTFD或B10D，见表1。

表1 各元器件的MTTFD或B10D

根据现场实际应用工况，限位开关（A1SL61）预定每年工作365天，每天3班，白天班8 h操作，该开关两次相继切换的起始点之间的平均时间估计为1周（7×24×3600 s，正常使用基本不动作，此时间定义为该开关的检查时间间隔）；（见ISO 13849-1 C.2式）；MTTFD==1149425（见ISO 13849-1 C.1式）。中间继电器（B1KA01）预定每年工作365天，每天3班，仅白天班8 h操作，该中继两次相继切换的起始点之间的平均时间估计为8 h（8×3600 s）；总接触器（B1KM01/00）预定每年工作365天，每天3班，白天班8 h操作，该接触器两次相继切换的起始点之间的平均时间估计为8 h（8×3600 s）；