C235 Safety
6C
6 Cielo Ciencia y Tecnología
·Publicada en C235 Safety

Cómo alcanzar SIL 3 / PL e en una función de seguridad con variadores SINAMICS G120

Para alcanzar un nivel de integridad de seguridad SIL 3 (IEC 62061) o Performance Level PL e (ISO 13849-1) en una función de seguridad que incluye un variador SINAMICS G120, la capacidad global del sistema no depende únicamente del valor numérico de la frecuencia de fallos peligrosos por hora (PFHD​). Aunque la probabilidad calculada se encuentre en el rango de SIL 3 (entre 1,00×10−8 y <1,00×10−7 h−1), el nivel global de la función de seguridad queda limitado al Límite de Reclamación SIL (SIL Claim Limit o SILCL) del componente de menor especificación de la cadena. En variadores G120 con unidades de control como la CU240E-2 DP-F cuyo hardware interno está homologado hasta SIL 2 / PL d para la función STO (Safe Torque Off), se debe incorporar una desconexión electromecánica redundante mediante dos contactores de potencia en serie actuados por el controlador F-PLC, o bien migrar el módulo de potencia a la plataforma SINAMICS PM240-2 compatible con SIL 3 / PL e nativo.

Tabla de contenido

Causa técnica: por qué el cálculo de PFHD no incrementa el nivel SILCL del variador

La norma IEC 62061 evalúa las funciones de seguridad a través de dos criterios independientes que deben cumplirse simultáneamente:

  1. La probabilidad de fallo peligroso por hora (PFHD​): Suma cuantitativa de las tasas de fallo de todos los subsistemas (sensores, lógica de control y actuadores).
  2. El Límite de Reclamación de Integridad de Seguridad (SILCL): Límite cualitativo determinado por el fabricante y el organismo de certificación (como TÜV) para cada dispositivo individual, basado en su tolerancia a fallos de hardware (HFT) y su fracción de fallos seguros (SFF).

Según la regla del eslabón más débil, la clasificación SIL global de una función de seguridad no puede superar el SILCL más bajo de cualquiera de los subdispositivos que la componen:

SILglobal​=min(SILCLSensor​,SILCLPLC​,SILCLActuador​)En una configuración típica compuesta por dos interruptores de posición Failsafe (3SE51), un autómata S7-315F, un módulo de entradas de seguridad ET 200S (4/8 F-DI) y un variador SINAMICS G120 con CU240 DP-F:

  • Los sensores y el controlador F-PLC disponen de una capacidad SILCL 3 / PL e.
  • El variador G120 tradicional tiene un SILCL 2 / PL d homologado para su función STO integrada.

Aunque la herramienta Safety Evaluation Tool (SET) calcule un valor total de PFHD​=7,59×10−8 h−1 (el cual matemáticamente se sitúa dentro de la horquilla de SIL 3), la herramienta asignará automáticamente SIL 2 al bucle completo debido al tope cualitativo del variador. No es posible alterar el valor SILCL de un componente mediante software o ajustes de parámetros.

Requisitos previos

  • Herramienta de cálculo de seguridad industrial (Safety Evaluation Tool / TIA Selection Tool Safety Assessment).
  • Proyecto de automatización con controlador SIMATIC F-CPU (S7-300F, S7-1500F) y entorno STEP 7 Safety / TIA Portal.
  • Esquema eléctrico con canal redundante de desconexión de corriente.
  • Documentación técnica y certificados de seguridad TÜV del variador y módulos de potencia instalados.

Método 1: Implementación de arquitectura redundante con contactores de potencia (SIL 3 / PL e)

Se utiliza mejor cuando: Se mantiene instalado un variador SINAMICS G120 con unidad de control certificada únicamente para SIL 2 / PL d y se requiere elevar la función de seguridad a SIL 3 / PL e sin sustituir el accionamiento principal.

Procedimiento

  1. Diseñe una estructura de desconexión de dos canales independientes:

    • Canal 1 (Electrónico): Activación de la función Safe Torque Off (STO) integrada en la unidad de control (CU240) del SINAMICS G120 a través de la red PROFIsafe o mediante entradas F-DI locales.
    • Canal 2 (Electromecánico): Dos contactores de potencia (K1 y K2) conectados en serie en la línea de alimentación de red (o en la salida hacia el motor) con contactos de espejo (mirror contacts) para realimentación de diagnóstico.
      2. Conecte los contactos de espejo de K1 y K2 a las entradas de seguridad del módulo F-DI (ET 200S) para supervisar la discrepancia y el pegado de contactos (Readback).
      3. En el programa F-PLC de la CPU S7-315F, configure el bloque de seguridad para que accione de forma simultánea la función STO del variador y las salidas F-DO que conmutan las bobinas de los contactores K1 y K2.
      4. Introduzca los valores de PFHD​, B10d​ y tiempos de prueba en la herramienta de evaluación de seguridad para los tres subsistemas (sensores, F-PLC y el conjunto contactores + STO del variador).

Plaintext

Estructura de desconexión de doble canal para SIL 3 / PL e:

[Red Trifásica] ───► [Contactor K1] ───► [Contactor K2] ───► [SINAMICS G120] ───► [Motor]
                           │                   │                   │
                     (Bobina F-DO)       (Bobina F-DO)     (Señal STO PROFIsafe)
                           │                   │                   │
                           └───────────────────┼───────────────────┘
                                               │
                                    [F-CPU SIMATIC S7-315F]

Resultado esperado: La desconexión de energía del motor queda respaldada por una arquitectura de tolerancia a fallos de hardware HFT=1. El canal electromecánico garantiza la puesta en cero de la energía aunque falle la electrónica interna del variador.

Verificación: Simule la apertura del bucle de seguridad y confirme con un osciloscopio o multímetro que la tensión en los bornes del motor decae a cero tanto por la inhibición de impulsos del G120 como por la apertura física de K1 y K2.

Limitación: La conmutación electromecánica mediante contactores incrementa el desgaste mecánico, requiere espacio adicional en el armario eléctrico y eleva el tiempo de respuesta total de la parada.

Método 2: Migración al módulo de potencia SINAMICS PM240-2 con STO certificado SIL 3

Se utiliza mejor cuando: Se diseña una instalación nueva o se realiza una modernización (retrofit) de hardware donde se desea prescindir de contactores externos para lograr SIL 3 / PL e de forma nativa.

Procedimiento

  1. Sustituya el módulo de potencia de la serie anterior por un módulo SINAMICS PM240-2 (o SINAMICS S120 / G120 de nueva generación con homologación de hardware PM240-2).
  2. Monte sobre el nuevo módulo de potencia la unidad de control Failsafe (por ejemplo, CU240E-2 DP-F o CU240E-2 PN-F).
  3. Verifique en la placa de características y en el certificado de seguridad de Siemens que la combinación PM240-2 + CU240E-2 declare explícitamente la homologación SIL 3 según IEC 62061 y PL e / Categoría 3 o 4 según ISO 13849-1.
  4. Configure la función de seguridad STO a través del software de parametrización (STARTER o TIA Portal Startdrive).
  5. En la herramienta Safety Evaluation Tool (SET), actualice el catálogo de hardware a la versión que incluye las librerías del PM240-2.
  6. Seleccione el modelo exacto del variador PM240-2 dentro del catálogo de subsistemas de la herramienta SET.

Resultado esperado: La herramienta asigna directamente un Límite de Reclamación SILCL=3 al bloque del variador, permitiendo que la función de seguridad global alcance SIL 3 / PL e sin incorporar contactores mecánicos adicionales.

Verificación: Ejecute la compilación del informe de seguridad en SET o TIA Selection Tool y confirme que el resultado final indique SIL 3 Achieved y PL e Achieved.

Tabla comparativa de métodos

CriterioMétodo 1: G120 Estándar + Contactores redundantesMétodo 2: G120 con Módulo PM240-2Nivel de seguridad alcanzableSIL 3 / PL eSIL 3 / PL eComponentes de hardware requeridosVariador G120 (SIL 2) + 2 Contactores de potencia con contactos de espejoVariador G120 con módulo de potencia PM240-2 + CU FailsafeComplejidad de cableadoAlta (potencia trifásica en serie y retroalimentación F-DI)Baja (comunicación directa PROFIsafe o cableado STO directo)Desgaste mecánicoPresente en las bobinas y contactos mecánicosNulo (desconexión 100 % electrónica por semiconductor)Espacio en armario de controlRequiere espacio adicional para contactores de potenciaCompacto (solo requiere la huella del variador)

Verificación

El procedimiento de elevación de nivel de seguridad a SIL 3 / PL e se considera exitoso cuando:

  • El informe emitido por la herramienta de cálculo de seguridad (Safety Evaluation Tool / TIA Selection Tool) confirma que la suma total de PFHD​ se encuentra en el intervalo [1,00×10−8,1,00×10−7) h−1 y que ningún subsistema limita el resultado a SIL 2.
  • En pruebas de campo con el variador en marcha, la desconexión del bucle de seguridad deshabilita los impulsos de conmutación IGBT en menos del tiempo de respuesta máximo definido en el análisis de riesgos.
  • Si se utiliza el Método 1, el programa de la F-CPU detecta y genera un fallo de discrepancia si alguno de los contactores K1 o K2 queda soldado o no conmuta a tiempo.

Limitaciones y precauciones operativas

  • Tiempos de prueba de funcionamiento (Proof Test Interval): El valor de PFHD​ calculado presupone la realización de pruebas periódicas de funcionamiento. El intervalo de prueba no debe exceder el tiempo especificado en los manuales de seguridad de Siemens para la unidad de control y el módulo de potencia.
  • Categoría de parada (Stop Category 0 vs Stop Category 1): La función STO equivale a una Parada Categoría 0 (supresión inmediata de par, el motor gira por inercia). Si la aplicación requiere que el accionamiento frene de forma controlada antes de desenergizar (Parada Categoría 1 / SS1), se debe parametrizar la función Safe Stop 1 (SS1) y verificar que los tiempos de demora se encuentren dentro de la zona protegida por la barrera de seguridad.

Preguntas frecuentes para ingenieros

¿Por qué la herramienta Safety Evaluation Tool asigna SIL 2 a mi sistema si la matemática de PFHD da 7.59E-08?

Porque la norma IEC 62061 exige cumplir tanto la meta cuantitativa de probabilidad (PFHD​) como el límite cualitativo de la estructura del hardware (SILCL). Aunque el cálculo numérico esté en rango de SIL 3, si el variador instalado posee una certificación de hardware SILCL=2, la herramienta fuerza el resultado global a SIL 2.

¿Se puede modificar por parámetro el SILCL de un variador G120?

No. El SILCL es un límite físico y conceptual otorgado por el fabricante tras certificar la arquitectura interna del chip, los circuitos de disparo y las pruebas de laboratorio con entidades como TÜV. No se puede incrementar mediante software ni cambiando opciones en el PLC.

¿Se pueden colocar los contactores del Método 1 en la salida hacia el motor en lugar de la red de entrada?

Sí, es técnicamente válido instalar los dos contactores en la línea de salida del variador hacia el motor. Sin embargo, se debe asegurar que la lógica de seguridad corte la señal STO de la unidad de control antes o al mismo tiempo que se abren los contactores mecánicos para evitar arcos eléctricos severos que puedan dañar los transistores de salida (IGBT) del variador.

Referencias técnicas

  • Siemens Industry Online Support (SIOS): Safety function example: Emergency Stop up to SIL 3 / PL e with SINAMICS S120/G120 (ID de artículo: 48336710).
  • Siemens Press Release: PLe integration in SINAMICS PM240-2 Power Modules.
  • Norma Internacional IEC 62061: Seguridad de las máquinas - Seguridad funcional de sistemas de mando eléctricos, electrónicos y programables relativos a la seguridad.
  • Norma Internacional ISO 13849-1: Seguridad de las máquinas - Partes de los sistemas de mando relativas a la seguridad - Parte 1: Principios generales para el diseño.

Artículos relacionados

Etiquetas relacionadas

Code: C235

6 respuestas