Řízení procesů s PLC
Pro vysvětlení problematiky lze prohlásit, že postupnou automatizací v továrnách bylo stále těžší udržet v bezporuchovém chodu zvyšující se počet reléových skříní a kontrolek. Úměrně tomu vzrůstal i tlak na koncentraci obsluh, které mechanicky sledovaly stále stejné podněty a reagovaly stále se opakujícími reakcemi. Proto se realizoval koncept automatizovaných prvků pro kritické operace, jako je například samovolný záskok za vypadlé čerpadlo nebo vyhodnocení nesprávného stavu se signalizací jen v kritické situaci. Postupně se ukázalo, že rozmanitost automatizačních úloh je tak velká, že nelze všechny dílčí algoritmy napevno vyrobit a produkovat v dostatečném množství a kvalitě. Problém vyřešil nástup volně programovatelných automatů - tedy PLC, počítače s CPU se speciálním programovacím jazykem /obrmalizovaným na rychle probíhající děje a připravenými knihovnami pro nejčastěji řešené úlohy.

V současnosti lze využít PLC podle charakteru úlohy na:

• sběr dat s jejich odesláním ke zpracování nebo archivaci,
• malé kontrolní úlohy, které pomáhají upozornit obsluhu na nežádoucí stavy,
• řízení kroků obsluhy ve výrobě podle předem daného schématu,
• plnohodnotné využití v automatizaci výrobního procesu s malou nebo žádnou aktivní rolí obsluhy v řízení strojů, která je pak omezena pouze na vydávání požadavků a kontrole jejich splnění.

Specificky bezobslužné nebo nekontrolované provozy kladou nejvyšší nároky na kvalitu přípravy programů do PLC. Vhodně zvolený model řešení algoritmů nebo podporovaná kontrola struktury programování omezí chyby a nedodělané funkce, například kontrola bezchybného HW a rychlá dohledatelnost chyby v programu. Možnost přípravy požadovaných funkční před realizací zakázky a možnost oprav bez nutnosti zastavení probíhajícího procesu (inkrementální programování) významně ovlivňuje kvalitu výsledného programu a tím i jeho bezpečnou funkci.

Periferie
Relé jsou v PLC již jen virtuální a realita je převedena signály přes svorky u periferie do PLC. Typickou periferií je skupina 8 digitálních vstupů na 24V stejnosměrné napětí se společnou nulou. Celkově lze rozdělit periferie takto:

• podle směru informace: vstupní, výstupní, obousměrné,
• podle charakteru hodnoty: digitální, analogové, kombinované, komunikační,
• podle typu zdroje signálu: 24V ss, 48V ss, 230V st, 115V st, 0/4 - 20mA, speciální (5V čidlo, RS 485),
• podle propojení: izolované signály nebo propojené jednou stranou, galvanicky oddělené, uzemněné,
• podle přístupu k CPU: kompaktní (jedna deska přímo propojené), centrální (v jedné skříni kartami a sdílenou sběrnicí), decentrální (propojení komunikací).

Pokud se nevhodně propojí signály, dochází k ovlivňování měřených hodnot nebo i ke zničení modulu. Také je nezbytné oddělit vedení různých kabeláží, zvlášť silové od komunikačních a analogových. Podceňované je i rozhodování, jaké provedení svorek bude na modulech pro periferie použito, neboť šroubky se chovají dlouhodobě jinak než předpružené kontakty, což má vliv na montáž, pozdější změny kabeláže a preventivní servis.

Ve většině projektů se nejistota v možnostech připojení zařízení řeší pomocí oddělovacího relé, zvlášť u strojů s dlouhou kabeláží, kde pomáhá i zpětná vybíjecí dioda. Takto se nahrazuje galvanické oddělení, napěťový převod, rozdílné potenciály společné svorky, přenosy indukovaných rušení, možnost testovacího blokování ovládání a většinou i snazší detekci skutečného stavu signálu z technologie.

Pro rozsáhlé nebo rozptýlené technologie se osvědčilo členění signálů do rozvaděčů propojených pouze komunikačním kabelem, což snižuje jak náklady na instalaci kabeláže, tak možnost poruchy nebo chybné montáže. Nejznámější jsou nyní sítě typu Profibus (DP, FMS, deriváty) a Ethernet (např. Profinet) pro realtime řízené výměny dat s /obrmalizací na velké objemy přenášených dat. Kvalita protokolu ovlivňuje rychlost přenosu dat (tedy i reakce obsluhy), odolnost proti zarušení (pozměnění) obsahu, bezpečnostní funkce při ztrátě spojení a faktickou připojitelnost inteligentních jednotek. Náhrada kabeláže od různých informačních čidel za jeden komunikační kabel se osvědčila pro frekvenční měniče nebo výměnu dat mezi několika PLC, vždy se ale musí vyřešit reakce pro bezpečné zastavení stroje (technologie) při definované ztrátě komunikace. Proto se zavádí možnost redundance (zdvojení) komunikačních karet.

Všeobecně je redundance účinným prostředkem pro zvýšení bezpečnosti. Zdvojit se dají CPU, periferie I/O, komunikační karty s kabeláží a kontrola programu. Zatímco HW zdvojení hlídá rozpor mezi dvěma stranami identického vybavení, tak u SW jde o Safety&Security programování "F", tedy omezené možnosti vytvořit chybu v programu pro PLC a vnitřní kontrolu očekávaného výsledku programu.

Pokud tedy náhle přestane fungovat prověřená funkce, bývá problém nejčastěji v periferii a jejím elektrickém připojení.

Vnější ochrany
Kde je tedy zajištěna bezpečnost a jistota při obsluze zařízení při přesunu rozhodování do PLC? Pro projektanta se stává hlavním nástrojem správné rozvržení ochran, které jsou nadřazeny řízení z PLC:

• Total Stop, tedy odpínání pohyblivých částí přímým odpojením od zdroje napájení nebo řízení,
• PILZ bezpečnostní relé, které plní několik definovaných funkcí, zajišťující i kaskádní odpojování, odblokování podle podmínek a minimalizaci poruch striktní definice funkce připojených vstupů,
• elektrické řetězce ochran přímo přerušující napájení, jako je zaplavení prostoru, otevření krytu, zkrat, trvalé přetížení, únik plynu, požár,
• provozní ochrany dané realizací v technologii, jako je přetížení pasu, kontrola otáček, teplota ložiska, zával materiálem, lankové odpojení, dosažení maximální bezpečné limity, zakázané oblasti pro pohyblivé části stroje,
• deblokační skříňka odpojí možnost řízení z PLC, vhodné pro uvádění do provozu a testování.

Všechny tyto ochrany jsou základem pro prověření během preventivních kontrol.

Vnitřní ochrany
Technolog a programátor si musí přidat i další omezující podmínky pro práci zařízení. Některé z nich jsou kopírované z vnějších ochran a jiné sledují odchylky od očekávaného průběhu řízení:

• skutečné hodnoty jsou mimo parametry pro pracovní oblast zařízení (teplota v prostoru, ztráta tlaku vzduchu, nízký tlak oleje, nedostatek vody pro chlazení, nesprávný poměr tlaku a průtoku média),
• detekce rizika (SICK laser hlídá překážku při pohybu, světelné závory, otevření dveří při blízké manipulaci),
• sledování toku materiálu (ztráta objemu bez důvodu, ztráta očekávaného průchodu předmětu, rozdělení předmětu),
• doplňková ochrana stroje (pracovní podmínky podle dodavatele, suchý chod, zásoba surovin pro zahájení chodu).

Kritické rozhodování
Pro bezpečné naprogramování PLC je nutné zajistit již od zahájení projektu kontrolu splnění všech podmínek pro konzistentní popis algoritmů, tedy zejména:

• komplexnost zadání funkcí, nejen hlavní činnost, ale i občasné a výjimečné využití a kombinace souběžných stavů,
• plná vybavenost signály, tedy z ekonomických důvodů neomezovat počet signálů s odůvodněním možnosti si je odvodit z ostatních signálů (např. koncová poloha ventilu z jeho procentní polohy nebo naopak),
• definice diagramu práce stroje s jasným popisem všech stavů, do kterých se stroj může dostat,
• rozhodnutí o nasazení redundantních komponent (CPU, signály, komunikace), základem úvahy je předpokládaná škoda při selhání CPU, komunikace nebo kritického signálu,
• posouzení rizik pro obsluhu nebo technologii a definice obou souborů ochran, které pak určí i pracovní postupy,
• pokud je projekt rozsáhlejší, tak je zpravidla vypracován plán uvádění do chodu s postupem zkoušek k otestování nejen běžné funkce, ale hlavně ochran, které jsou základem pro předání díla,
• zaškolení je nutnou povinností pro využívání stroje, ale zejména nutností pro předvedení reakcí na nebezpečné stavy.

Než se tedy zahájí práce na zakázce, je nutné vědět nejen to, co bude projekt řešit, ale i jak se zachová v nesprávných situacích a jak bude obsluha chráněna z hlediska bezpečnosti práce.

Realizace zakázky
Nejvíce problémů se samozřejmě projeví až při konkrétní realizaci a uvádění díla do provozu. Většinu potíží způsobují zjištěné rozpory mezi zadáním a skutečností. Je zcela obvyklé, že zadavatel některé skutečnosti ohledně zažitých postupů ve výrobě považuje za natolik samozřejmé, že je neučiní součástí zadání pro realizátora. Horší situací je nutnost dodatečného vybavení o nové signály a k tomu i konzistentní rozšíření připravených funkcí, ochran a testů.

Často je obtížné přesvědčit zákazníka, že musí obětovat suroviny, čas a riziko selhání pro otestování situací, které jsou z jeho pohledu okrajové - ale právě proto je nutné vyzkoušet, že ochrany v těchto situacích fungují. V období testů je vždy nutné definovat průběh a cíl testu, což umožní předejít problémům s možnými škodami z důvodu, že se záměrně hledají slabá místa projektu.

Každý rozpor mezi předpokladem a skutečností na místě realizace mívá v lepším případě jen ekonomické důsledky, ale často i právní.

Údržba systému
Po zkušebním provozu se podle charakteru zakázky a zákazníka realizuje servis a tím i údržba. Vždy je nutné zajistit záruční servis (i jinou firmou) a často i pohotovostní servis (s rychlým nástupem na řešení problému). Pozáruční servis a pohotovost bývá méně obvyklá a často je nahrazena objednáním servisního zásahu až při vzniku problému. Tento zásah často koná jiná firma, než ta, která realizovala zakázku, takže nedostatek podkladů zvyšuje bezpečnostní riziko při snaze o zprovoznění technologie a odstranění závady.

V případě trvalých provozů je stanoven režim pravidelných odstávek. Během nich probíhá kontrola a opravy všech částí provozu a před najetím do běžného provozu se vykonávají preventivní prohlídky PLC (s celým řídicím systémem včetně necentrálních periferií) a testy ochran. Většina vnitřních ochran je pouze revidována, neboť nelze dosáhnout podmínek pro jejich aktivaci. Pokud se realizuje jejich změna na základě zkušeností z předchozího provozu, musí následovat test se sníženou (dosažitelnou) hodnotou kontrolované veličiny.

Při výměně za nový stroj nebo jeho repasi je nutné otestovat všechny ochrany jako při prvním uvádění zařízení do provozu. Tím se předchází potížím se změnou chování stroje v důsledku vývoje nových verzí jejich ovládání a ochran. Každá taková změna stroje musí mít písemně doloženo otestování ochran, aby byla jistota bezpečného provozu.

Seznam případů ke studiu je velmi rozsáhlý a pro bezpečný provoz zařízení je základním studijním materiálem zkušenost ze života. Splnění požadavků projektanta se znalostí podstaty zařazení stroje do bezpečnostní kategorie (EN 954-1, EN 60204-1) a realizace kategorie zastavení zajišťuje jistotu maximální ochrany lidí i majetku. Samotné uvádění do provozu nebo revize je nejnebezpečnější fází před předáním stroje obsluze do běžného užívání. Vždy je ale nutno brát zřetel na to, že i nejkomplexnější test neodhalí vše, čeho je (ne)schopný člověk schopen dosáhnout.

Luděk Zimmermann COLSYS - AUTOMATIK, a.s.

Tato přednáška je ukázkou sborníku přednášek č. 40.