Limiti di conformità per il reset Ethernet e il monitoraggio dello stato del PLC dei dispositivi di sicurezza

La brutta verità sul monitoraggio dello stato del PLC

Il monitoraggio dello stato del PLC non è la stessa cosa del controllo di sicurezza. È visibilità. È diagnostica. È un modo per sapere se una barriera fotoelettrica di sicurezza è libera, bloccata, guasta, silenziata, pronta per il reset o richiede manutenzione prima che il supervisore della linea inizi a dare la colpa a “problemi del sensore”.”

È pericoloso.

Diventa pericoloso quando un impianto tratta tranquillamente un normale ingresso PLC, un pulsante di reset HMI o un tag diagnostico EtherNet/IP standard come se avesse lo stesso peso legale di un circuito di arresto di sicurezza, di un blocco funzione PLC di sicurezza convalidato o di un blocco di riavvio applicato correttamente. Perché molte fabbriche commettono ancora questo errore?

Perché il tempo di attività seduce le persone.

Ho un'opinione difficile da esprimere: molte installazioni di “sicurezza intelligente” sono in realtà solo vecchi circuiti di sicurezza con schermi più belli. L'HMI ha un aspetto moderno. Il cruscotto ha icone verdi. Il team di manutenzione può vedere lo stato del dispositivo dalla sala di controllo. Ma se il percorso di ripristino, la risposta ai guasti e la logica di riavvio non sono integrati in un'architettura di sicurezza, il sistema non è più intelligente. È solo più facile fraintendere.

La stessa OSHA guida del dispositivo di rilevamento della presenza Le barriere fotoelettriche devono arrestare la macchina quando il campo di rilevamento viene interrotto, devono impedire la corsa successiva dopo determinati guasti e non devono lasciare punti di ingresso non protetti intorno al pericolo. Questo è il vero discorso sulla conformità, non se il PLC può visualizzare “LC_CLEAR = 1”.”

Se state scegliendo l'hardware, iniziate dal dispositivo di protezione vero e proprio, non dal cruscotto. A gamma di prodotti di barriere fotoelettriche di sicurezza fornisce il livello di protezione fisica; il monitoraggio dello stato del PLC riporta solo l'attività di tale livello.

Il reset di Ethernet sembra efficiente. Può anche sembrare terribile dopo un infortunio

Il reset Ethernet è una di quelle funzioni che sembrano innocue in una riunione. “Possiamo resettare il dispositivo di sicurezza dall'HMI?”. “La manutenzione può eliminare il guasto della barriera fotoelettrica tramite EtherNet/IP?”. “Il supervisore può resettare il lidar di sicurezza dal pannello centrale?”.”

Tecnicamente, forse.

Dal punto di vista legale e pratico, rallentate.

La linea da seguire è semplice: Ethernet può essere accettabile per la diagnostica, le richieste di reset supervisionate, la registrazione degli eventi e la configurazione del dispositivo in condizioni controllate, ma non deve diventare un percorso di riavvio remoto casuale per il movimento pericoloso. Il reset non è un avvio. Il reset non è un permesso di movimento. Il reset non è una gomma magica per una protezione bloccata, un interblocco sconfitto o una persona ancora in piedi all'interno di un'area protetta.

ODVA descrive CIP Safety come un sistema che fornisce una comunicazione a prova di errore tra blocchi I/O di sicurezza, barriere fotoelettriche di sicurezza, interruttori di interblocco di sicurezza e controllori di sicurezza, con supporto fino a SIL 3 secondo la norma IEC 61508. Spiega inoltre che CIP Safety utilizza timestamp, identificatori, metodi CRC/checksum, ridondanza e protezioni dell'identità di sicurezza a livello di dispositivo, anziché affidarsi ciecamente al normale traffico di rete. Questa distinzione è importante. La messaggistica Ethernet standard e la comunicazione di rete classificata per la sicurezza non sono la stessa cosa.

Ecco quindi la regola per gli addetti ai lavori: se il segnale Ethernet comunica solo lo stato, deve essere inserito nel monitoraggio. Se il segnale Ethernet può cancellare un arresto di sicurezza, attivare il movimento o modificare il comportamento del riavvio, deve essere inserito in un file di convalida di sicurezza documentato.

E sì, è meglio che quel file sopravviva a una revisione ostile.

Il limite della conformità: cosa può e non può fare il monitoraggio del PLC

Il monitoraggio dello stato del PLC funziona meglio quando viene trattato come un testimone, non come un giudice.

Un PLC standard può raccogliere segnali utili dai dispositivi di sicurezza: uscite ausiliarie, feedback sullo stato dell'OSSD, stato dell'EDM, indicatori di muting, condizioni di bypass, feedback dei relè di sicurezza, stato della richiesta di reset, codici di guasto e stato delle comunicazioni. Questi dati sono oro per la riduzione dei tempi di fermo. Aiutano la manutenzione a individuare lenti sporche, guasti ai cavi, derive di allineamento, riflettori instabili, tempi di muting non corretti e interventi fastidiosi.

Ma ha dei limiti.

Funzione	Solitamente accettabile attraverso il monitoraggio PLC standard	Richiede una progettazione/convalida di sicurezza	Perché è importante
Visualizzazione dello stato di blocco/chiaro della barriera fotoelettrica	Sì	No, se di sola lettura	Utile per la diagnostica e la guida dell'operatore
Registrazione dei guasti del dispositivo di sicurezza con data e ora	Sì	No, se di sola lettura	Contribuisce a dimostrare la storia della manutenzione
Mostra la condizione di pronto per il reset sull'HMI	Sì	Dipende dall'architettura	Il display non è la funzione di reset
Invio del comando di reset Ethernet remoto	Rischioso	Spesso sì	Il reset può influenzare il comportamento del riavvio pericoloso
Arresto del movimento pericoloso	No	Sì	La protezione del personale deve utilizzare controlli di sicurezza.
Monitoraggio del feedback del dispositivo esterno / EDM	Forse	Sì, se fa parte della funzione di sicurezza	I contattori possono saldarsi; la retroazione deve essere gestita correttamente
Modificare le zone di sicurezza o la logica di muting attraverso la rete	Rischioso	Sì	Le modifiche alla configurazione influiscono sulla funzione di protezione
Riavviare la macchina dopo l'annullamento del dispositivo di sicurezza	No	Sì	Il riavvio automatico dopo l'accesso può essere letale

La soluzione ingegneristica migliore consiste nel separare il sistema in due strati. Il livello di sicurezza blocca i pericoli. Il livello di monitoraggio spiega cosa è successo. Quando i due livelli si confondono, le indagini diventano spiacevoli.

Ecco perché i modelli con caratteristiche realmente orientate alla sicurezza sono importanti. Ad esempio, un barriera fotoelettrica di sicurezza di alta precisione con supporto EDM è un punto di partenza più serio di un generico sensore fotoelettrico collegato a una normale scheda di ingresso. Lo stesso vale quando un progetto necessita di dimensioni speciali, di un comportamento a doppia uscita o di uno stato rivolto al PLC. Barriera fotoelettrica non standard predisposta per PLC ha più senso che costringere un sensore standard in uno strano telaio della macchina.

I file degli incidenti non si preoccupano del vostro cruscotto

È qui che la conversazione diventa meno confortevole.

Nell'anno fiscale 2024, l'OSHA ha inserito la protezione delle macchine ai sensi del 29 CFR 1910.212 tra i 10 standard più citati. L'OSHA ha inoltre riferito di 34.696 ispezioni federali nell'anno fiscale 2024 e ha sottolineato che l'agenzia e i partner statali coprono circa 130 milioni di lavoratori in oltre 8 milioni di cantieri. In altre parole, l'applicazione delle norme è scarsa, ma quando qualcosa va storto, la traccia cartacea si fa sentire.

Il Bureau of Labor Statistics degli Stati Uniti ha riportato 5.070 infortuni mortali sul lavoro nel 2024, in calo rispetto ai 5.283 del 2023, con un lavoratore che muore ogni 104 minuti per un infortunio sul lavoro. Questa non è una statistica che riguarda solo la protezione delle macchine, ma è lo sfondo che ogni direttore di stabilimento dovrebbe ricordare prima di approvare scorciatoie sulla logica di ripristino della sicurezza.

Guardate i casi.

Nel settembre 2024, l'OSHA ha dichiarato Hailiang Copper Texas ha dovuto affrontare $253K di penalità proposte dopo che un lavoratore ha subito un'amputazione parziale del braccio mentre cercava di rimuovere i detriti vicino a un'apparecchiatura per bobine di rame. L'OSHA ha dichiarato che l'impianto non ha installato le protezioni o i dispositivi di blocco richiesti e ha esposto i lavoratori a un contatto pericoloso con le parti in movimento delle macchine.

Nel dicembre 2024, il Dipartimento del Lavoro ha dichiarato che G&S Metal Products ha affrontato $182K in multe dopo che due lavoratori hanno subito amputazioni in incidenti separati con presse elettriche. Una pressa si è bloccata inaspettatamente durante la manutenzione; un'altra si è chiusa senza preavviso durante lo sgombero dei rottami. L'OSHA ha citato protezioni inadeguate, mancanze di lockout/tagout e scarsa formazione sulla sicurezza delle macchine.

Nell'aprile 2024, il Dipartimento del Lavoro ha dichiarato che Faurecia Emissions Control Systems ha dovuto affrontare più di $300K di sanzioni proposte dopo che un operaio di 26 anni è rimasto schiacciato mortalmente vicino a un'apparecchiatura che piega i tubi di scarico dei veicoli. L'OSHA ha dichiarato che una corretta protezione delle macchine e le procedure di lockout/tagout avrebbero potuto evitare la tragedia.

Nessun ispettore rimarrà impressionato da uno schermo HMI lucido se il movimento pericoloso potrebbe ripartire dal posto sbagliato, al momento sbagliato, senza una visione chiara e verificata dell'area protetta.

Dove il monitoraggio dei dispositivi di sicurezza Ethernet/IP è effettivamente utile

Non sono contro la rete. Sono contrario al fantasy.

Il monitoraggio dei dispositivi di sicurezza EtherNet/IP può essere eccellente se utilizzato per i compiti giusti: diagnostica della sicurezza della macchina, stato di salute del dispositivo, stato delle zone, localizzazione dei guasti, prove di manutenzione, visualizzazione della disponibilità al riavvio e prova che una richiesta di sicurezza si è verificata alle 14:03:22 invece che “qualche tempo prima di pranzo”.”

È qui che il monitoraggio dello stato del PLC si guadagna la pagnotta.

Una buona architettura di monitoraggio dovrebbe mostrare:

• Nome del dispositivo di sicurezza, posizione e zona della macchina
• Stato OSSD o stato di uscita sicura
• Azzeramento dello stato di richiesta
• Riavvio dello stato di interblocco
• Stato di feedback dell'EDM
• Muting attivo, errore di muting o bypass attivo
• Codice di guasto e data di scadenza
• Modalità controllore di sicurezza
• Ultima richiesta di sicurezza
• Stato di salute della rete, se si utilizza la comunicazione di sicurezza
• Cronologia degli annullamenti della manutenzione, se esiste un annullamento.

Ma il progetto deve essere dolorosamente chiaro: il PLC di monitoraggio non può declassare silenziosamente la funzione di sicurezza.

Se la selezione del tipo di dispositivo di protezione è ancora in corso, leggere le istruzioni per l'uso del dispositivo di protezione. guide alla scelta dei dispositivi di sicurezza prima di effettuare il cablaggio. Per celle, nastri trasportatori e aree di automazione mobili di grandi dimensioni, lidar di sicurezza può essere più adatto di una barriera fotoelettrica fissa. Per il feedback della posizione del bersaglio metallico, un sensore di prossimità può supportare la diagnostica, ma non deve essere scambiato per un dispositivo di protezione del personale, a meno che la funzione di sicurezza completa non sia stata progettata a tale scopo.

Il problema del reset che nessuno vuole affrontare

La progettazione di reset espone rapidamente le debolezze dell'ingegneria.

Se un lavoratore apre una protezione, rompe una barriera fotoelettrica, entra in una cella robotica o in un'area di stampa, la macchina non deve riavviarsi solo perché il segnale diventa di nuovo chiaro. Sembra ovvio. Eppure gli stabilimenti creano ancora sistemi in cui l'azzeramento del fascio di luce, il clic su una conferma dell'HMI o il ciclaggio di un bit di rete creano una catena di riavvio che non è stata completamente testata.

Ma ecco la questione più spinosa: reimpostare la posizione.

Il pulsante di reset deve essere posizionato in modo che l'operatore possa verificare che la zona pericolosa sia libera prima di ripristinare la funzione di sicurezza. Un reset Ethernet remoto da una sala di controllo può essere comodo, ma questa persona può vedere dietro la pressa? Può vedere all'interno della cella recintata? Riesce a vedere il punto cieco di alimentazione del pallettizzatore? Riesce a vedere il tecnico della manutenzione accovacciato accanto a un inceppamento?

Se no, perché sono autorizzati a resettarlo?

Per la pianificazione della conformità, utilizzare il sezione norme di sicurezza delle macchine come punto di partenza, quindi documentare l'effettiva valutazione del rischio della macchina, il tempo di arresto, la distanza di sicurezza, la posizione di ripristino, l'obiettivo del livello di prestazioni, il metodo di convalida e la progettazione del cablaggio. Non lasciate che il team di acquisto riduca il progetto a “abbiamo bisogno di Ethernet e PLC”.”

Questa frase è troppo piccola per il rischio.

Un'architettura pratica che difenderei davvero

Ecco l'architettura più pulita che difenderei di fronte a un responsabile della sicurezza, a un cliente OEM o a un investigatore.

Strato di sicurezza

Utilizzare dispositivi e logiche di sicurezza per la protezione del personale. Ciò può includere barriere fotoelettriche di sicurezza di tipo 4, relè di sicurezza, PLC di sicurezza, ingressi a doppio canale, EDM, disattivazione sicura della coppia, protezioni interbloccate, tappeti di sicurezza, lidar di sicurezza e blocchi funzione di sicurezza convalidati.

Strato di monitoraggio

Utilizzare il livello PLC, HMI, SCADA o MES standard per la visibilità in sola lettura. Mostra lo stato. Memorizzare gli eventi. Avvisare della manutenzione. Trend degli interventi di disturbo. Tracciare la frequenza di ripristino. Identificare le zone con accessi ripetuti. Ma non lasciate che questo livello diventi l'autorità per un arresto o un riavvio sicuro.

Azzeramento del livello

Utilizzare un metodo di ripristino che corrisponda alla valutazione del rischio. Il reset locale cablato è spesso più pulito. Il reset del PLC di sicurezza può essere accettabile se convalidato. Il reset Ethernet deve essere considerato un'eccezione, non un'opzione predefinita, soprattutto quando la visibilità dell'area di pericolo è incompleta.

Livello di documentazione

Conservare le prove. Disegni di cablaggio. Descrizioni delle funzioni di sicurezza. Misure del tempo di arresto. Calcoli della distanza di sicurezza. Valutazione SISTEMA o equivalente, se applicabile. Registri dei test di convalida. Registri delle modifiche. Regole di autorizzazione HMI. Politica delle password. Registri delle autorizzazioni di bypass.

L'impianto che documenta bene questo aspetto sembra professionale. L'impianto che non è in grado di spiegare chi può ripristinare cosa, da dove e in quali condizioni sembra incauto.

Domande frequenti

Che cos'è il monitoraggio dello stato del PLC per i dispositivi di sicurezza?

Il monitoraggio dello stato del PLC consiste nell'uso degli ingressi del controllore, dei tag di sicurezza, dei bit di diagnostica e degli stati dell'HMI per osservare se i dispositivi di sicurezza, quali barriere fotoelettriche, interblocchi, tappeti di sicurezza e scanner lidar, sono sani, bloccati, pronti per il reset, in errore, silenziati, bypassati o richiedono attivamente un arresto. Dovrebbe migliorare la diagnostica, non sostituire il sistema di controllo di sicurezza.

In pratica, il monitoraggio dello stato del PLC aiuta la manutenzione e le operazioni a capire perché una macchina si è fermata. Può ridurre i tempi di inattività, smascherare i guasti ripetuti e supportare una migliore risoluzione dei problemi. Ma la funzione di arresto in sé deve essere gestita da hardware di sicurezza, logica convalidata e comportamento di reset documentato.

Il reset di Ethernet può essere conforme ai dispositivi di sicurezza?

Il reset Ethernet è un comando di reset basato sulla rete inviato attraverso un HMI, un PLC, un controllore di sicurezza o un protocollo industriale e può essere considerato conforme solo se la valutazione dei rischi, l'architettura di sicurezza, la posizione del reset, la prevenzione del riavvio, il record di convalida e gli standard della macchina applicabili supportano tutti questo metodo. Non è automaticamente sicuro perché è digitale.

Il rischio maggiore è il reset remoto senza visibilità. Se la persona che resetta il sistema non può confermare che nessuno è rimasto nella zona di pericolo, il progetto è debole. Un reset deve ripristinare la prontezza; non deve creare un movimento imprevisto o nascondere una condizione di non sicurezza dietro un'icona HMI verde.

Perché il monitoraggio standard dello stato del PLC non è sufficiente per la conformità alla sicurezza delle macchine?

Il monitoraggio standard dello stato del PLC non è una funzione di sicurezza perché gli ingressi ordinari, i messaggi Ethernet, i bit HMI e i tag ladder di solito non sono progettati, certificati o convalidati per fornire la tolleranza ai guasti, la copertura diagnostica, la reazione deterministica e il comportamento di riavvio necessari per la protezione del personale. Il monitoraggio può informare le persone, ma non può essere ritenuto in grado di proteggerle.

Ciò non significa che il PLC sia inutile. Significa che il PLC deve ricoprire il ruolo corretto. Lasciare che raccolga gli eventi, visualizzi le condizioni del dispositivo e avvisi la manutenzione. Lasciate che il relè di sicurezza, il PLC di sicurezza, il controllore di sicurezza o la rete di sicurezza convalidata svolgano la funzione di protezione.

In che modo gli ingegneri dovrebbero monitorare i dispositivi di sicurezza con il PLC senza creare rischi di conformità?

Il monitoraggio sicuro del PLC significa separare la logica di arresto di sicurezza dalla diagnostica non di sicurezza, quindi utilizzare le uscite ausiliarie approvate, i bit di stato del controllore di sicurezza, i registri degli eventi e gli indicatori HMI di sola lettura per segnalare le condizioni del dispositivo senza consentire ai normali comandi Ethernet di disattivare, resettare o riavviare le funzioni di protezione. Il confine deve essere intenzionale, documentato e testato.

Una buona regola è semplice: leggere liberamente lo stato, scrivere attentamente i comandi. Qualsiasi comando che modifichi lo stato di reset, lo stato di muting, lo stato di bypass, la configurazione della zona o l'autorizzazione al riavvio merita un esame di sicurezza. Se la funzione influisce sulla possibilità che si verifichino movimenti pericolosi, va considerata come parte del sistema di sicurezza.

Cosa si deve controllare prima di aggiungere la logica di conformità del circuito di sicurezza di reset del PLC?

La conformità del circuito di sicurezza di reset del PLC significa che il progetto di reset deve essere esaminato in base alla valutazione del rischio della macchina, alla posizione del reset, alla visibilità dell'area pericolosa, ai requisiti di reset manuale, alla prevenzione del riavvio, alla struttura degli ingressi di sicurezza, al feedback dell'EDM, alla gestione dei guasti, al controllo degli accessi e ai record di convalida. Un circuito di reset non è solo un pulsante, ma un comportamento di sicurezza controllato.

Prima di approvarlo, testate le modalità di guasto reali. Mantenere il reset. Rompere la barriera fotoelettrica. Simulare un contattore saldato. Interrompere la comunicazione di rete. Spegnere il controllore di sicurezza. Provare a resettare dalla schermata sbagliata. Se la macchina continua a comportarsi in modo prevedibile e sicuro, siete più vicini a un progetto difendibile.

I vostri prossimi passi

Non acquistate il “reset Ethernet” come funzione finché non sapete esattamente cosa resetta, chi può attivarlo, dove si trova, cosa può vedere e se la funzione di sicurezza rimane valida dopo il comando.

Per una nuova macchina o un retrofit, iniziare a definire il pericolo, la distanza di sicurezza, il tipo di dispositivo di protezione, la struttura di uscita, il metodo di ripristino e le esigenze di monitoraggio. Quindi abbinare il prodotto al rischio. Se l'applicazione prevede dimensioni personalizzate, diagnostica rivolta al PLC, EDM, uscite doppie, ambienti difficili o accesso su più lati, inviate il layout della macchina, l'altezza di protezione richiesta, la risoluzione, l'intervallo di rilevamento, il tipo di uscita, la tensione, i requisiti dei cavi, il mercato di destinazione e le aspettative di reset attraverso la sezione "Gestione dei rischi". Pagina di richiesta di preventivo per la tenda di sicurezza.