Robot I/O og sikkerhedsgrænseflade-printkort til nødstop, isoleret I/O, PL og SIL

Robot I/O og sikkerhedsgrænseflade-printkort forbinder robotten til nødstop, lysgitre, sikkerhedsscannere, aktiveringskontakter, interlocks, industrielle sensorer, aktuatorer og eksterne styresystemer. Disse printkort implementerer ofte de hardwarestier, der sætter robotten i en sikker tilstand, når software, feltledninger eller en tilsluttet enhed fejler.

Denne vejledning forklarer sikkerheds-I/O-kort som et brancheemne: dobbeltkanalarkitektur, PL- og SIL-mål, isolerede industrielle indgange, udgangsdrivere, analog I/O, diagnostiske testpulser, fejldetektion, dokumentation og produktionstest. FAQ'en er blevet omformuleret omkring, hvad ingeniører og købere normalt spørger om, før de bygger sikkerhedsrelateret robotelektronik.

Hvad Robot Safety I/O PCB'er rent faktisk gør

Rollen i robotsystemet

Robot I/O og sikkerhedsgrænseflade-printkort håndterer forbindelsen mellem robotten og dens omgivelser — eksterne nødstop, sikkerhedsgardiner, lysbarrierer, industriel I/O, digitale indgange og udgange. Det, der adskiller disse printkort, er, at de bærer robottens sikkerhedsarkitektur — de hardwarestier, der garanterer sikker adfærd, selv når software på højere niveau fejler. De specifikke karakteristika for sikkerheds-I/O-printkort er:

• Dobbeltkanalsredundans: Sikkerhedsrelaterede signaler sendes gennem to uafhængige kanaler. Afvigelsesdetektion sikrer, at begge kanaler stemmer overens.
• Krydsovervågning: Hver kanal overvåger den anden. Fejl i begge kanaler opdages hurtigt.
• Diagnostiske testpulser: Regelmæssige testpulser verificerer, at sikkerhedskæden fungerer. Fravær af pulser indikerer fejl.
• Isolerede indgange og udgange: Galvanisk isolation mellem feltledninger og styreelektronik. Beskytter styresiden mod feltsidetransienter.
• Certificerede komponenter: Sikkerhedsklassificerede komponenter med definerede fejltilstande og diagnostisk dækning. Opfylder kravene i ISO 13849 eller IEC 62061.
• Fejlsikre standardindstillinger: Tab af signal, strømtab eller fejl skaber en sikker tilstand. Må aldrig svigte i farlig tilstand.

Designrisici at kontrollere

For sikkerheds-I/O-printkort bør input om fremstillingsevnen ske, før placering af stik, tilpasning af kabinet, adgang til armaturer, termiske stier og kabelføring fastfryses. Sene ændringer af disse detaljer udløser normalt mekanisk omarbejdning, redesign af testarmaturer eller kompromiser med pålideligheden, som kunne have været undgået med en tidlig DFM-gennemgang.

Komponentvalg bør omfatte livscyklusstatus, godkendte alternativer, pakketilgængelighed, temperaturklassificering og sikkerheds- eller isolationsklassificeringer, hvor det er relevant. Sikkerheds-I/O-printkort forbliver ofte i produktion eller service længere end forbrugerelektronik, så uløst sourcingrisiko bliver et problem i felten, ikke kun et indkøbsproblem.

På systemniveau bør printkortet specificeres efter funktion, miljø, levetid og testdækning i stedet for udelukkende ud fra skematisk tegning. Dette forhindrer den almindelige fejl at bygge et teknisk korrekt printkort, der er vanskeligt at montere, svært at vedligeholde eller utilstrækkeligt robust, når det først er installeret i robotten.

Sikkerhedsarkitekturen skal gennemgås med den primære robotstyringselektronik og, i regulerede systemer, den medicinske robotteknologiske printpladepakke.

Sikkerhedsarkitektur: ISO 13849, IEC 62061, PL, SIL

Arkitekturvalg for sikkerhedsarkitektur

Sikkerhedsarkitektur på robot-I/O-kort implementerer typisk et af standardsikkerhedsmønstrene. Hovedmønstrene er:

• Kategori 3 (ISO 13849): Tolereres ved enkeltfejl. Standard for de fleste sikkerhedsfunktioner inden for industrirobotteknologi.
• Kategori 4: Fejl opdaget før næste efterspørgsel. Højere krav; mere kompleks arkitektur.
• SIL 2 (IEC 62061): tilsvarende processikkerhedskrav. Standard for de fleste industrielle anvendelser.
• SIL 3: Højere krav til processikkerhed. Mindre almindeligt inden for robotteknologi.
• Ydelsesniveau d (ISO 13849): tilsvarende samlet sikkerhedskrav. Standard for kollaborative robotter.
• Præstationsniveau e: Højeste sikkerhedskrav. Standard på de mest krævende applikationer.

Valideringskrav til sikkerhedsarkitektur

Pålidelighed afhænger af at bevare de marginer, der er designet til printkortet: kobberbredde, isolationsafstand, termisk aflastning, stikfastholdelse, komponentnedrating og inspektionsdækning. Produktionen bør verificere disse egenskaber i stedet for at behandle printkortet som en generisk samling med en generisk bestået/ikke bestået test.

Servicevenlighed bør overvejes gennem mærkede stik, tilgængelige testpunkter, tydelige printkortvarianter og sporing af serienumre. Når en robot fejler i felten, giver god diagnosticering på printkortniveau serviceteamet mulighed for hurtigt at isolere problemet i stedet for at udskifte store enheder eller returnere hele robotten.

Den praktiske regel er at vælge den enkleste konstruktion, der stadig opfylder signal-, sikkerheds-, termiske og mekaniske krav. Overspecificering øger omkostningerne, mens underspecificering skaber omarbejde under test eller feltimplementering.

Digital indgangshåndtering til industrielle signaler

Vigtige designvalg til håndtering af digital indgang til industrielle signaler

Digital inputhåndtering på industrielle I/O-kort er rettet mod det industrielle inputmiljø. De vigtigste overvejelser er:

• Spændingstolerance: Industrielle digitale signaler typisk 24 V DC. Kortet tolererer bredt spændingsområde og omvendt polaritet.
• Strømbegrænsning: Indgangsstrømmen er begrænset for at forhindre skader fra ledningsfejl. Standard optoisolatorindgange er typisk 10 mA.
• filtrering: Inputfiltrering afviser støj og korte fejl. Filtertidskonstant valgt for det specifikke inputsignal.
• Isolering: Optisk isolation mellem feltledninger og styreelektronik. Standard for industrielle sikkerhedsrelaterede indgange.
• Testkapacitet: Verifikation af indgangstilstand via teststier. Standard på sikkerhedsrelaterede indgange.
• Detektering af ledningsbrud: Nogle indgange registrerer brudte ledninger som fejl. Muliggør diagnostisk dækning af kabelfejl.

Overvejelser vedrørende fremstilling og pålidelighed

Testdækningsdisciplinen skaleres med pålidelighedskravet. Forbrugerapplikationer kræver mindre dækning end industrielle; industrielle mindre end medicinske; medicinske mindre end sikkerhedskritiske. Ved at matche testdækningen med det faktiske krav bevares omkostningsbudgettet, samtidig med at den sikkerhed, som applikationen har brug for, gives.

Produktionsdokumentation er ofte underinvesteret i designfasen og dyr at konstruere med tilbagevirkende kraft. Testoptegnelser pr. enhed, der indsamles under produktionen, understøtter feltundersøgelser år senere; sporbarhed af komponentpartier understøtter post mortem-analyse af feltreturneringer. Programmer, der planlægger dokumentation tidligt, har de optegnelser, de har brug for; programmer, der tilføjer dokumentation senere, mister ofte de data, de ville have ønsket.

Digital udgang, der driver eksterne enheder

Vigtige designvalg til digital output, der driver eksterne enheder

Digital udgangsstyring styrer eksterne enheder — relæer, kontaktorer, indikatorer, sikkerhedsaktuatorer. De vigtigste overvejelser er:

• Nuværende kapacitet: Udgangsstrøm dimensioneret til den tilsluttede belastning. Typisk 100 mA til 2 A pr. udgang; højere strømme gennem eksterne kontaktorer.
• Spændingsfastspænding: Friløbsdioder på induktive belastninger. Standard for relæ- og solenoiddrev.
• Isolering: Optisk eller magnetisk isolation mellem styreelektronik og feltledninger. Standard på sikkerhedsrelaterede udgange.
• Diagnostisk dækning: Tilbagelæsning af udgangstilstand sammenlignet med kommando. Fejldetektion for fastlåste udgange.
• Testpulser: Regelmæssige testpulser på sikkerhedsudgange verificerer, at udgangsstien fungerer. Belastningen skal håndtere testpulserne.
• Kortslutningsbeskyttelse: Udgangsbeskyttelse mod kortslutninger. Automatisk genoprettelse efter afhjælpning af fejl.

Overvejelser vedrørende fremstilling og pålidelighed

Synlighed i forsyningskæden under produktionen påvirker både omkostninger og pålidelighed. Producenter med aktiv sourcing-kapacitet absorberer allokeringscyklusser, der ellers ville forårsage produktionsstop; producenter uden aktiv sourcing sender forsyningsproblemer videre til kunderne. Værdien af ​​aktiv sourcing er højest under brancheomfattende mangler og lavest under stabile forsyningsforhold.

Design-iterationscyklusser drager fordel af tæt design-produktionsfeedback. En produktionspartner, der giver hurtig DFM-feedback, muliggør hurtig iteration; en partner, der giver langsom eller overfladisk feedback, forsinker iterationen proportionalt. Programmer, der vælger produktionspartnere delvist baseret på feedbackkvalitet, bevæger sig typisk hurtigere gennem prototypefasen end programmer, der udelukkende vælger ud fra det laveste tilbud.

Analog I/O til processtyring og måling

Vigtige designvalg for analog I/O til processtyring og -måling

Analog I/O udvider den digitale I/O med måling og analog styring. Almindelig i processtyring og specialapplikationer. De vigtigste overvejelser er:

• 4-20 mA strømsløjfe: Standard industriel analog. Loopstrømmen er proportional med signalet. Håndterer lange kabelstrækninger med god støjimmunitet.
• 0-10 V spænding: standard industriel analog spænding. Kortere kabelstrækninger end strømsløjfer.
• Termoelement: Specifik analog grænseflade til temperatur. Kompensation for koldt led og linearisering.
• FTU: Temperaturmåling af platinmodstand. Præcisionstemperaturmåling.
• Analog udgang: Strøm- eller spændingsudgang, der driver eksterne enheder. Standard styregrænseflade.
• Isolering: Galvanisk isolation på analoge grænseflader. Standard til industrielle applikationer.

Overvejelser vedrørende fremstilling og pålidelighed

Volumenbåndsøkonomi påvirker de rigtige procesvalg forskelligt ved forskellige produktionsskalaer. Praksisser, der betaler sig tilbage ved 100,000 enheder om året, betaler sig sjældent tilbage ved 500 enheder; praksisser, der giver mening ved prototype, giver sjældent mening ved store mængder. At matche produktionstilgangen med den faktiske produktionsvolumen er det, der gør hvert volumenbånd økonomisk rentabelt.

De regulatoriske certificeringsforpligtelser varierer betydeligt afhængigt af anvendelse og marked. Produktionsdokumentation, der understøtter kundeindsendelser, kan variere fra minimal (forbrugerprodukter på uregulerede markeder) til omfattende (medicinsk udstyr med stramme opbevaringsperioder). Programmer, der specificerer certificeringskrav ved tilbud, får produktionen korrekt opsat; programmer, der tilføjer certificeringskrav senere, kræver nogle gange procesændringer.

Diagnostisk dækning er kun meningsfuld, når den er bakket op af en dokumenteret funktionel testprocedure og kommunikeret via et pålideligt robotinterfacekort.

Diagnostisk dækning og fejldetektion

Krav til sikkerhedsfunktioner

Diagnostik- og testfunktioner på sikkerheds-I/O-kort adskiller sikkerhedsklassificerede I/O-kort fra almindelige I/O-kort. De vigtigste diagnostiske funktioner er:

• Krydsovervågning: Hver sikkerhedskanal overvåger den anden. Afvigelse indikerer en fejl.
• Testpulser: regelmæssige testpulser gennem sikkerhedskæden. Manglende pulser indikerer fejl.
• Feedbackbekræftelse: Befalet output sammenlignet med målt output. Forskel indikerer fejl.
• Selvtest ved opstart: Sikkerhedskædens integritet verificeres før drift. Opstartsfejl forhindrer usikker drift.
• Periodisk bevistest: Nogle sikkerhedsfunktioner kræver periodisk fuld korrekturtestning. Afdækker fejl, som automatisk diagnosticering overser.
• Fejlreaktion: defineret adfærd ved fejldetektering. Øjeblikkelig sikker tilstand; alarm til supervisor; fejllogindtastning.

Beviser, diagnostik og sporbarhed

Konsolideret produktion hos én produktionspartner bevarer institutionel viden, der akkumuleres på tværs af produktgenerationer. En partner, der har bygget flere generationer af lignende produkter, kender de specifikke problemer, der opstår, de procesjusteringer, der forbedrer udbyttet, og de designmønstre, der fører til god produktion. Denne viden overføres ikke til nye partnere uden omkostninger.

Løbende dialog mellem ingeniører og produktionsvirksomheder forbedrer både produkternes og leverandørforholdets omfang over tid. Udbyttedata, der strømmer tilbage til ingeniørvirksomhederne, informerer designforfining; feltreturdata, der strømmer tilbage, informerer både design- og produktionsforbedringer. Programmer, hvor denne dialog er aktiv, forbedres på tværs af produktgenerationer.

For tilstødende designbeslutninger, se vejledningen til isolering og EMC af robotkommunikations-PCB og vejledningen til sikkerhedsarkitektur af industrirobot-PCB.

Produktion af sikkerheds-I/O-printkort hos Highleap

DFM-gennemgang før produktion

Highleap fremstiller sikkerheds-I/O-kort med de procesdiscipliner, som sikkerhedsklassificerede produkter har brug for. De specifikke egenskaber omfatter:

• Certificeret komponentindkøb: Sikkerhedsklassificerede komponenter fra autoriseret distribution med partisporbarhed.
• Samling for sikkerhed: særlig opmærksomhed på de komponenter, der implementerer sikkerhedsfunktioner. Placeringsverifikation og inspektion.
• Funktionstest: Verifikation af sikkerhedskæden under produktionstest. Fejlinjektionstest bekræfter sikker adfærd.
• Sikkerhedsverifikation pr. enhed: Sikkerhedsfunktioner verificeret pr. enhed; testdata indsamlet for sporbarhed.
• Dokumentation: Produktionsregistre, der understøtter kundecertificeringsindsendelser. Inspektion af første artikel med fokus på sikkerhed.
• Isolationsverifikation: Isolationstest mellem feltside og kontrolside pr. enhed.

Test, sporbarhed og build-overdragelse

Fremstillingsprocesdisciplinen for robotteknologi blander praksisser fra flere traditionelle elektronikkategorier. Fra forbrugerelektronik - omkostningsdisciplin og volumenproduktion. Fra industriel elektronik - pålidelighedsteknik og lang levetid. Fra bilelektronik - vibrations- og miljøtolerance. Fra medicinsk elektronik - dokumentation og sporbarhed. Robotteknologi drager fordel af at kombinere disse.

Programmer, der behandler produktion som strategisk – investering i leverandørrelationer, deling af prognoseoplysninger, koordinering af kapacitet – overgår typisk programmer, der behandler produktion transaktionelt. Den transaktionelle tilgang sparer forhandlingstid, men går glip af de samlede fordele ved et langsigtet leverandørpartnerskab.

Ofte stillede spørgsmål om robot-I/O og sikkerhedsgrænseflade-PCB

Hvad er et robot I/O- og sikkerhedsgrænseflade-PCB?

Det er kortet, der forbinder en robot til eksterne indgange, udgange og sikkerhedsenheder såsom nødstop, lysgitre, sikkerhedsscannere, interlocks og industrielle sensorer. Det kan omfatte isolerede digitale I/O, redundante sikkerhedskanaler, diagnostiske kredsløb, outputdrivere og kommunikation til hovedcontrolleren eller sikkerhedscontrolleren.

Hvad er forskellen mellem standard I/O og sikkerheds-I/O?

Standard I/O rapporterer og styrer normale maskinsignaler. Sikkerheds-I/O er designet, så fejl detekteres, og systemet går i en sikker tilstand. Sikkerheds-I/O bruger ofte redundans, krydsovervågning, testpulser, certificerede komponenter, kendt fejltilstandsanalyse og dokumentation, der er i overensstemmelse med det krævede Performance Level eller SIL-mål.

Hvordan relaterer PL og SIL sig til robotsikkerheds-printkort?

Performance Level i henhold til ISO 13849 og Safety Integrity Level i henhold til IEC 62061 beskriver den nødvendige risikoreduktion for sikkerhedsfunktioner. PCB'en opnår ikke PL eller SIL alene; den fulde sikkerhedsfunktion omfatter sensorer, logik, udgange, ledningsføring, diagnosticering, software og validering. PCB'en skal understøtte den ønskede arkitektur og evidenskrav.

Hvorfor anvendes der nødstopkredsløb med to kanaler?

Nødstopkredsløb med to kanaler gør det muligt for systemet at detektere en enkelt fejl, såsom en brudt ledning, svejset kontakt eller kortslutning mellem kanaler. De to kanaler overvåges for overensstemmelse og timing. Hvis de ikke stemmer overens eller fejler i diagnostiske kontroller, skal sikkerhedsstyringen beordre et sikkert stop i stedet for at stole på et enkelt signal.

Hvornår skal robot-I/O være galvanisk isoleret?

Isolering anbefales, når feltledninger forlader kabinettet, tilsluttes industrielt udstyr, bruger forskellige jordreferencer eller kan bære transienter. Det beskytter styreelektronik mod spændingsspidser og jordsløjfer. Sikkerhedsrelaterede signaler bruger ofte isolation plus diagnostisk overvågning, så elektriske fejl opdages snarere end skjules.

Hvad er diagnostiske testpulser i sikkerheds-I/O?

Diagnostiske testpulser er korte signaler, der bruges til at bekræfte, at en indgangs- eller udgangskanal stadig er tilsluttet og ikke kortsluttet eller sidder fast. Sikkerhedscontrolleren forventer et kendt svar. Manglende, forsinkede eller uventede impulser kan indikere ledningsfejl, komponentfejl eller kortslutninger mellem kanaler, der kræver en sikker tilstandsrespons.

Hvordan skal sikkerheds-I/O-printkort testes i produktionen?

Produktionstesten bør verificere indgangstærskler, isolation hvor specificeret, udgangsdrevkapacitet, kortslutningsrespons, diagnostiske pulser, kanalafvigelsesdetektion, kommunikation, firmwareprogrammering og sikker tilstandsadfærd. Testregistreringer bør knyttes til serienummeret, da sikkerhedsrelaterede printkort ofte kræver sporbarhed under revisioner eller feltundersøgelser.

Hvilken dokumentation er nødvendig for robotsikkerhedsgrænsefladekort?

Dokumentationen omfatter normalt skemaer, printkortfiler, styklister med godkendte sikkerhedskomponenter, isolationsvurderinger, beskrivelse af sikkerhedsfunktioner, antagelser om diagnostisk dækning, testplan, produktionstestregistreringer, firmwareversion, registreringer af ændringskontrol og sporbarhedsdata. Certificeringsorganer og slutkunder kan kræve denne dokumentation for den komplette maskinsikkerhedsfil.

Send PCB-filer for robotsikkerhedsgrænsefladen til DFM og testgennemgang