CPU PLC fail-safe: cosa documentare prima del recupero

Una CPU fail-safe, di solito scritta F-CPU, esegue due programmi contemporaneamente: il normale programma di comando e un programma di sicurezza separato che il runtime del produttore tiene isolato da esso. Estrai una CPU, leggi la famiglia e il numero, e tutto sembra standard. Poi la macchina rifiuta di accettare un programma di sicurezza. Questa è la trappola fail-safe.

Schema di sistema ingrandito

×

La divisione è funzionale, non fisica: entrambi i programmi girano sulla stessa unità, ma il lato sicurezza è isolato dal runtime.

Siemens consegna varianti fail-safe dentro le famiglie S7-1200F e S7-1500F, e la marcatura F compare nel codice d'ordine e sull'etichetta d'alloggiamento. L'hardware non annuncia da solo la differenza, quindi la marcatura è la prima cosa da controllare e la prima da registrare. Un carattere in più nel codice d'ordine separa un'unità che accetta un progetto di sicurezza da una che non può.

I due programmi restano separati per progetto. Il programma di sicurezza gira secondo regole di runtime proprie, e il programma standard non può modificarlo. Quell'isolamento è il motivo per cui una CPU standard non può semplicemente essere caricata con un progetto di sicurezza, e perché lo stato F dà forma a ogni domanda di recupero che segue.

Puoi individuare la marcatura F senza aprire nulla. Nei codici d'ordine Siemens la capacità fail-safe compare nel riferimento stesso, e l'etichetta d'alloggiamento porta la marcatura a sua volta. Anche lo strumento di ingegneria la mostra, una volta che l'unità è in rete. Ciò che non puoi fare è dedurla dal comportamento della macchina, perché una CPU standard può gestire lo stesso processo fino al momento in cui qualcuno prova a caricare un progetto di sicurezza. La marcatura è un fatto stampato, quindi trattala come tale e leggila.

La marcatura cambia ciò che un riferimento abbinato deve includere. Due CPU che condividono il numero base possono differire nel fatto stesso di accettare un programma di sicurezza, e quella capacità è legata all'unità specifica e alla sua configurazione. Ecco perché lo stato F appartiene alla prima riga del tuo record, prima della revisione o delle foto.

Schema di sistema ingrandito

×

Il numero base apre la porta, ma il record F decide cosa può passarci. Questo è un controllo funzionale, non un cablaggio.

Il programma di sicurezza e la sua configurazione F, le impostazioni che legano la funzione di sicurezza all'unità, fanno parte dell'identità in un secondo senso. Un'unità con il codice d'ordine corretto può ancora rifiutare di eseguire un progetto di sicurezza se la configurazione non corrisponde a ciò che il progetto si aspetta. Nessun valore di targhetta dimostra che un ricambio accetterà il progetto. Quella prova va registrata, mai data per scontata. L'elenco dei moduli F protegge inoltre l'esame da una seconda trappola: una CPU di ricambio che sembra completa sulla carta mentre l'insieme configurato attorno resta non registrato.

I moduli I/O fail-safe collegati, i moduli F, appartengono allo stesso insieme configurato. Un F-CPU e i suoi F-IO si configurano insieme nel progetto, e una modifica a qualsiasi membro di quell'insieme può richiedere la rivalidazione del programma di sicurezza. Quindi la domanda di abbinamento non si ferma mai alla CPU; si estende a ogni modulo F attorno. La distinzione è invisibile dall'esterno del quadro, ed è per questo che la marcatura stampata porta tanto peso.

Per una richiesta, la conseguenza pratica è l'ambito. Di' che la CPU si trova in un'applicazione fail-safe anche quando la tua domanda riguarda solo la CPU, perché chi esamina non può sapere se i moduli F attorno fanno parte della domanda finché non lo dici. Un esaminatore che scopre i moduli F a metà esame deve riaprire l'ingresso, e i riferimenti dei moduli F che hai elencato prima diventano il motivo per cui l'esame non ha dovuto farlo.

Ritrae il codice d'ordine completo con la sua marcatura F, la versione del firmware come stampata e la generazione hardware. Fotografa la targhetta e qualsiasi etichettatura legata alla sicurezza nel quadro, compresi cartelli o documenti che nominano la funzione di sicurezza a cui la CPU serve. Le foto portano la formulazione esatta, e le etichette di sicurezza parafrasate perdono il loro significato in un record. Due fonti di etichetta per la stessa unità sono normali, e ciascuna fotografata è un dettaglio in meno ricostruito a memoria.

Schema di sistema ingrandito

×

Quattro gruppi di record alimentano il dossier. Ognuno risponde a una domanda che altrimenti chi esamina dovrebbe fare due volte.

Elenca i moduli F collegati con i loro riferimenti. Nomina ogni modulo F, la sua posizione di slot o stazione e il suo codice d'ordine completo, allo stesso modo in cui hai registrato la CPU stessa. Dove si trovano i moduli conta, perché la domanda di rivalidazione segue il cablaggio.

Se esiste un backup di progetto, registra la versione del programma di sicurezza e dove il backup è archiviato, accanto alla versione del programma standard. Le due versioni possono differire, e chi esamina ha bisogno di entrambe per giudicare cosa eseguirebbe davvero un'unità ripristinata. Se non esiste un backup, scrivi quel fatto nel record, perché cambia ogni rotta di recupero che segue. La posizione di archiviazione conta quanto la versione; un backup che nessuno trova si comporta come uno mancante.

L'etichettatura di sicurezza merita un giro dedicato. Cerca cartelli di avvertimento allo sportello del quadro, tasche porta-documenti e qualsiasi targa che nomina la funzione di sicurezza a cui la CPU serve, e fotografa ciò che trovi. Quegli elementi portano la formulazione con cui lavorano chi esamina la sicurezza, e una parafrasi nelle tue note non può riprodurla. Se nulla è etichettato, registra quell'assenza come un fatto, perché dice a chi esamina quanta parte del contesto di sicurezza non è documentata.

Data ogni voce e tieni il dossier factuale. Le opinioni su cosa abbia probabilmente causato un guasto, o su cosa un fornitore potrebbe avere a scaffale, non appartengono accanto ai fatti misurati. La data è ciò che trasforma un'affermazione in un record, perché un fatto senza data non può essere riverificato contro nulla.

Schema di sistema ingrandito

×

La fiducia viene da tre campi per riga. I vuoti dichiarati fanno parte delle prove, non un fallimento del record.

Un dossier datato e con fonte permette alla persona successiva di verificare ogni riga invece di ridurla da capo. Ogni valore dovrebbe portare la sua fonte: targhetta, strumento di ingegneria o file di progetto. Quando due fonti sono in disaccordo, registra entrambe le letture invece di mediarle, e lascia all'esame risolvere il conflitto.

La stessa disciplina vale per i vuoti. Uno stato del firmware sconosciuto o un backup mancante è un fatto sul record, e dichiararlo apertamente è una prova più forte che indovinare. I vuoti dicono anche a chi esamina quali passi di identificazione ripetere per primi.

Quando due fonti sono in disaccordo, registra entrambe le letture con le loro fonti e date, e lascia il giudizio all'esame. Un valore del firmware dallo strumento di ingegneria e uno diverso da una lista ricambi è un riscontro normale in uno stabilimento che invecchia, e sceglierne uno in silenzio trasforma il tuo record in un'affermazione. Due letture registrate sono prove; una lettura scelta è un'opinione. Chi esamina risolve il conflitto una volta, con le fonti davanti, invece di scoprirlo due volte.

Una CPU fail-safe non è solo una domanda di scambio standard. Il lavoro legato alla sicurezza appartiene al personale qualificato secondo le regole che valgono per la macchina, e nessuna voce di catalogo, scheda tecnica o affermazione di fornitore cambia questo. Il dossier di prove è un input per quel lavoro, non un sostituto.

Schema di sistema ingrandito

×

Il dossier finisce dove inizia la qualifica di sicurezza. Le frecce mostrano il passaggio delle domande, non il passaggio del lavoro.

Registra ciò che sai e dichiara ciò che non sai, poi instrada le domande sul programma di sicurezza alle persone responsabili della macchina. Un record che elenca apertamente i suoi vuoti è più utile a chi esamina di uno che li copre. Dove esiste un vuoto, di' chi di norma lo chiuderebbe e quale strumento gli servirebbe.

Tratta compatibilità ed esiti come domande aperte nella richiesta. Se uno specifico ricambio accetta il progetto di sicurezza esistente, e se una riparazione può preservare la configurazione F, sono decisioni per l'esame con le persone responsabili, supportate dalle tue prove. L'incertezza qui è normale, e dichiararla è ciò che tiene onesto un recupero di sicurezza.

• Ritrae il codice d'ordine con la sua marcatura F, la versione del firmware e la generazione hardware.
• Elenca ogni modulo I/O fail-safe collegato con il suo riferimento e la sua posizione.
• Registra entrambe le versioni dei programmi, o dichiara in modo chiaro che non esiste un backup.
• Il lavoro sul programma di sicurezza va al personale qualificato. Annota quel confine nella richiesta.

• la pagina di categoria per CPU PLC
• la guida ai campi di targhetta
• il dossier di prove per una richiesta PLC