O2 sensor geschikt voor lage temperatuur met safety kwalificatie niet te vinden. Wat nu?

Een productiemachine is tijdens productie gevuld met stikstof. Vóór het openen van de deuren moet de machine belucht worden met schone lucht. In de machine gaan we een O₂-sensor toepassen om te detecteren dat het veilig is om de deur te openen. Deze veiligheidsfunctie moet aan een required PL level D of SIL 2 voldoen. De O₂ sensor moet bij zeer lage temperaturen functioneren. Een geschikte O₂ sensor met safety-kwalificatie, die tegen deze temperaturen bestand is, kunnen we niet vinden. Een O₂ sensor zonder safety-kwalificatie, die geschikt is voor de lage temperatuur, is wel te vinden. Kunnen we met deze sensoren, bijv. door redundantie, toch aan het vereiste PL level voldoen? Hoe pakken we dat aan? 

Antwoord 

Een O₂ sensor bestaat soms alleen uit elektronische logica, maar het komt ook voor dat er intern programmeerbare logica en dus embedded software wordt toegepast. Het is voor u als fabrikant van belang dat u aantoonbaar kunt maken de juiste componenten in de veiligheidsketen te hebben geselecteerd en ook dat u middels een faalkansberekening kunt aantonen dat met de gekozen componenten het vereiste PL-level of SIL-level volgens respectievelijk EN-ISO 13849 of EN 62061 gehaald wordt. In principe is het aan te raden om voor sensoren altijd op zoek te gaan naar componenten die door de fabrikant als “veiligheidscomponent” op de markt worden gezet. Voor een veiligheidscomponent met intern een logische eenheid geldt op basis van Bijlage IV punt 21 van de Machinerichtlijn 2006/42/EG dat een EG-typekeuring door een geschikte aangewezen instantie (Notified Body of NOBO) is uitgevoerd.  
In uw geval heeft de markt survey blijkbaar niet geleid tot een fabrikant die een dergelijke NOBO gecertificeerde component kan leveren.
In dat geval zijn er twee mogelijkheden:
1) U neemt (samen met de fabrikant) deze certificering ter hand en wacht tot dit gerealiseerd is.
2) U gaat (samen met de fabrikant) na welke faalmodi met de gekozen component te verwachten zijn en probeert door middel van een verbeterde architectuur (enkelvoudige of meervoudige redundantie) en implementatie diagnosefuncties in veilige logica, bijvoorbeeld een veiligheids-PLC mogelijk falen vroegtijdig te detecteren.
Maar bij tegenwerking van fabrikant en/of markt, zal er toch iets moeten gebeuren. Er  zal een verdere analyse van het probleem moeten plaatsvinden. Bijvoorbeeld de mogelijkheid van het monitoren van de werking van de (analoge) sensor.

Tijdens het beluchten en vullen met stikstof zal de (analoge) sensor en gekoppelde logica een evenredige reactie vertonen. Door dergelijke procesvariabelen te betrekken in de veiligheidsgerelateerde besturing en desnoods meerdere sensoren te plaatsen is het mogelijk om met meer zekerheid het gevaarlijk falen van een component te onderkennen en daarop maatregelen te nemen.

Deze vraag is beantwoord door Fusacon BV