Bezpečnostní obvody (BO) Určeno pro studenty bakalářských studijních programů na FBI
Poznámka: !!! Níže uvedené texty neobsahují změny v termínech, přístupech a ve vlastním provedení bezpečnostních systémů vyvolané zrušením, vydáním a posledními změnami příslušných norem (ČSN EN 954-1, ČSN EN 60204-1 ed.2:2007, ČSN EN ISO 13 849-1,(2):2007, ČSN EN 62061 atd.)
S uvedenými změnami budou studenti seznámeni na přednášce.
Říjen 2007
autor
Obsah: 1. Obecně 2. Přístroje pro bezpečnostní obvody elektrických řídicích systémů 3. Vliv délky propojovacího vedení na funkci bezpečnostních kombinací 4. Splnění požadavků jednotlivých kategorií dle ČSN EN 954-1 5. Závěr Literatura
Listopad 2006;
doc.Ing.Václav Vrána,CSc.
1
1. Obecně Termínem „bezpečností obvody“ jsou označovány elektrické obvody řídicího systému, určené k zajišťování bezpečnostních funkcí. Hlavním smyslem jejich použití v řídicím systému je dosažení vyšší (zvýšené) úrovně ochrany proti možnému ohrožení osob, zařízení, nebo výrobního procesu. Mezi bezpečnostní funkce u strojů a strojního zařízení, které jsou obvykle zajišťovány prostřednictvím bezpečnostních obvodů elektrických řídicích systémů, patří např.tyto funkce: • nouzové vypnutí, • nouzové zastavení (kategorie 0, 1) • blokování pohonů nebezpečných pohybů v závislosti na: - poloze ochranných krytů (s jištěním nebo bez jištění), - signálech od optoelektronických bezpečnostních ochranných zařízení, • kontrola dvouručního ovládacího zařízení, • kontrolu ventilů a doběhu u hydraulických a mechanických lisů apod. Funkce STOP (zastavení) jsou v rozděleny do tří kategorií (ČSN EN 60204-1): Kategorie 0 - neřízené zastavení bezpečnostním vypnutím, tj. zastavení pohybu stroje vypnutím přívodu energie do pohonů stroje, přičemž jsou v činnosti brzdy a mechanické přístroje určené k zastavení. Kategorie 1 - řízené zastavení, tj. zastavení pohybu stroje sestupnou hranou signálu (převedením povelového signálu z úrovně H na úroveň L), jakmile řídící systém přijme povel k zastavení, přičemž výkonové části stroje zůstanou během procesu zastavování pod napětím. Kategorie 2 - řízené zastavení, při kterém akční členy řídícího systému zůstávají pod napětím. Každý stroj musí být vybaven řídící funkcí STOP kategorie 0, a vyžadují-li to bezpečnost a funkční potřeby stroje (jsou-li např. použity pohony s měniči kmitočtu), musí být stroj vybaven i funkcí STOP kategorie 1 nebo kategorie 2. Při návrhu BO elektrického řídicího systému stroje nebo strojního zařízení musí konstruktér, kromě dodržování obecně platných zásad pro navrhování řídicích obvodů, vždy vycházet ze stanovené nebo alespoň odhadnuté rizikovosti zařízení a z požadavků příslušné kategorie normy. Základní struktura BO je zjednodušeně znázorněna na obr. 1, včetně příkladu zapojení. Řídicí přístroj (např. tlačítko, lankový spínač, mechanický polohový vypínač, optoelektronické bezpečnostní ochranné zařízení apod.) snímá požadavek na bezpečnostní funkci a při jeho vzniku, vyvolá přestavení kontaktů přístroje - vstupní signál pro vykonání bezpečnostní funkce. Snímání požadavku na bezpečnostní funkci Řídící přístroj Signál od snímače
Bezpečnostní zařízení (řídící přístroj)
F Propojovací vedení (přenos signálů)
Signál pro akční člen
KM
Provádění zásahů k dosažení bezpečného stavu
FA Stop SB1
KM
Start SB2
KM Pohon, vypínaný bezpečnostním obvodem
obr. 1 Struktura jednoduchého BO a příklad jeho elektrického zapojení; kategorie B (1) 2
Tento signál je přes propojovací vedení přenesen na akční člen (např. relé, stykač, elektromagneticky ovládaný ventil apod.), který provádí zásah, vedoucí k dosažení bezpečného stavu zařízení. Z obr. 1 je zcela jednoznačně zřejmé, že v bezpečnostní technice obvykle uvažované závady, např. přemostění kontaktu řídicího přístroje (zkratem v propojovacím vedení), svaření kontaktů nebo mechanické selhání akčního členu, mají za následek ztrátu bezpečnostní funkce obvodu, to znamená, že při požadavku na bezpečnostní funkci nemůže být zařízení v důsledku závady uvedeno do bezpečného stavu. Zvýšení odolnosti BO vůči závadám je možné použitím speciální vyhodnocovací jednotky, tzv. bezpečnostního modulu, který je zapojen mezi řídicí přístroj a akční člen. Bezpečnostní modul reaguje na vstupní signál od řídicího přístroje, vyvolává výstupní signál pro akční člen, detekuje a vyhodnocuje závady v BO a kontroluje sám sebe, buď spojitě (průběžně) nebo nespojitě (při periodicky prováděném testu). Ke splnění méně náročných požadavků postačuje BO s jedním kanálem (jeden řídicí přístroj, jeden vstupní signál, jeden bezpečnostní modul, jeden akční člen). Splnění více náročných požadavků vyžaduje použití principů redundance a různosti. Termín „redundance“, v doslovném překladu „nadbytečnost“, je nutné chápat, jako použití více než jednoho prvku (obvykle dvou) pro zajištění jedné funkce a jedná se vlastně o stoprocentní zálohování. Při návrhu BO je však zapotřebí velmi dobře uvážit, zda je nezbytně nutná úplná redundance (zdvojení) všech částí obvodu, neboť takové řešení by vedlo k neúměrnému zvýšení nákladů na realizaci zařízení, což určitě není smyslem příslušných bezpečnostních předpisů a norem. Za bezpečnostní část řídicího systému lze považovat jak kterýkoliv přístroj, zapojený v BO, tak BO jako celek. Výsledná bezpečnostní úroveň celého obvodu je dána vlastnostmi části, která je nejméně odolná proti závadám. Jsou-li tedy v BO zapojeny dvě bezpečnostní části, přičemž jedna z nich splňuje vyšší požadavky druhá jen požadavky nižší, vyhoví takový obvod jako celek pouze nižším požadavkům. 2. Přístroje pro BO elektrických řídicích systémů U mechanicky ovládaných řídicích přístrojů s kontaktním výstupem pro BO je požadována pozitivní vypínací funkce kontaktů, jinak také označovaná jako nucené rozpínání.. Při nuceném rozpínání dochází k oddělení kontaktů v přímém důsledku stanoveného pohybu ovládače, který je na kontakty přenášen pevnými součástmi a nesmí záviset na pružinách. Přístroje s nuceným rozpínáním kontaktů označují značkou: Termín nucené rozpínání kontaktů“ nesmí být zaměňován s termínem „nucené vedení kontaktů“,. U spínacích přístrojů s nuceným vedením kontaktů (mechanickým spojením kontaktů) je speciální mechanickou konstrukcí zaručeno, že po celou dobu životnosti přístroje a za žádných okolností (tedy ani při závadě přístroje) nedojde k současnému spojení pracovních a klidových kontaktů Bezpečnostní moduly jsou logické jednotky určené pro použití v BO a slouží k zajišťování konkrétních bezpečnostních funkcí. Jakákoliv závada uvnitř samotného bezpečnostního modulu musí být detekována automatickou kontrolou a zásadně nesmí být příčinou ztráty bezpečnostní funkce obvodu. To znamená, že např. v případě bezpečnostního modulu, který je určen pro zajišťování bezpečnostní funkce nouzového zastavení, musí tedy závada uvnitř modulu buď vyvolat funkci nouzového zastavení, popřípadě, pokud vzniklá závada nebrání aktivaci bezpečnostní funkce řídicím přístrojem, musí být detekována při periodickém testu funkce bezpečnostního obvodu, přičemž až do doby odstranění závady musí být znemožněno nové uvedení strojního zařízení do provozu.
3
Uvnitř bezpečnostního modulu je obvykle ukryto několik speciálních relé s tzv. nuceným vedením kontaktů, vzájemně propojených osvědčeným způsobem, který využívá principů redundance a různosti.. Bezpečnostní relé, - relé s nuceným vedením kontaktů, nemají přepínací kontakty a zásadně se u nich používají samostatné kontaktní páry pro pracovní i klidové kontakty, přičemž jednotlivé kontaktní páry jsou umístěny v oddělených komorách relé. Tím je dosaženo kvalitního izolačního oddělení jednotlivých párů kontaktů, na které je pak možné připojovat různá napětí. BO, určené ke splnění požadavků vyšších kategorií normy, vyžadují zpětnou vazbu mezi akčním členem BO a bezpečnostním modulem. V případě, že je akčním členem stykač, musí mít i tento přístroj nucené vedení kontaktů a do zpětnovazebního obvodu se zapojuje jeho klidový kontakt. Pokud by byl použit „obyčejný“ stykač, bez nuceného vedení kontaktů, ztrácí použití bezpečnostního modulu smysl. Dále existuje velmi rozsáhlý sortiment přístrojů pro aplikace v BO řídicích systémů. Od řídicích přístrojů, tj. ručně ovládaných tlačítkových, popřípadě lankových spínačů pro nouzové vypnutí (zastavení), polohových spínačů pro kontrolu mezních poloh nebo polohy ochranných krytů (s jištěním a bez jištění) a aktivních optoelektronických bezpečnostních ochranných zařízení pro ochranu prstů nebo rukou obsluhy, popřípadě pro ochranu přístupu do nebezpečných prostorů, přes akční členy, tj. zejména stykače s nuceným vedením kontaktů, až po vyhodnocovací jednotky (bezpečnostní moduly nebo také bezpečnostní kombinace) pro nejrůznější bezpečnostní funkce. Bezpečnostní moduly lze použít také v kombinaci s programovatelnými automaty (PLC), konstruovanými, ověřenými a certifikovanými pro použití v BO. PLC těchto typů mohou zajišťovat všechny funkce stroje, včetně bezpečnostních. Při posuzování shody, před uvedením stroje nebo strojního zařízení do provozu, musí být použity postupy, vyžadující povinnou účast autorizované osoby. Standardní PLC nejsou v současné době, z hlediska bezpečnostní techniky, považovány za vyhovující a vhodné pro použití v bezpečnostních úlohách. 3. Vliv délky propojovacích vedení na funkci bezpečnostních kombinací Na jednom stroji nebo strojním zařízení je zpravidla použito několik řídicích přístrojů pro aktivaci bezpečnostních funkcí, např. ovládacích tlačítek pro nouzové vypnutí (zastavení) nebo mechanických spínačů pro kontrolu polohy bezpečnostních ochranných zařízení a délky připojovacích vedení k těmto přístrojům mohou dosahovat kritických hodnot, s ohledem na zaručenou spínací a rozpínací funkci vyhodnocovacích jednotek (bezpečnostních modulů). Pro zajištění požadovaných vypínacích časů předřazených jisticích prvků (při zkratech) a bezpečného a spolehlivého spínání spínacích přístrojů, musí proto být u dlouhých vedení kontrolován jejich odpor, daný materiálem, průřezem a délkou příslušných vodičů. V řídicích obvodech s napájením AC musí být kontrolována také kapacita vedení, která může negativním způsobem ovlivňovat rozpínací časy elektromagnetických spínačů. Při stanovení maximální přípustné délky vedení musí být zohledněny tři základní faktory: • zaručené odpojení ve stanoveném čase předřazeným jisticím prvkem při vzniku zkratu nebo příčného zkratu (obr. 2), • zaručené sepnutí spínacích prvků uvnitř vyhodnocovací jednotky (obr. 3), • zaručené rozepnutí spínacích prvků uvnitř vyhodnocovací jednotky (obr. 4). Při zkratu na propojovacím vedení mezi bezpečnostní kombinací a řídicím přístrojem musí předřazený jisticí prvek (pojistka, jistič) odpojit příslušné vedení v čase do 5 sec. V důsledku příliš velkého ohmického odporu dlouhého propojovacího vedení může být úbytek napění na vedení tak velký, že konečné napětí na svorkách vyhodnocovací jednotky nestačí pro sepnutí (přitažení) spínačů uvnitř bezpečnostního modulu. Z hlediska bezpečnosti není sice tato závada relevantní, znemožňuje však funkci bezpečnostního modulu.
4
Rv
A1
Rv
FU
Rv
Rv
Rv
FU
A1
Rv
Cv
Cv
FU
A1
Izmin Rcív
Rcív
Rcív
Rcív
Rcív Ri A2
Ri
A2
Rcív Ri
A2
Obr. 2– Výpočet délky vedení Obr. 3– Výpočet délky vedení Obr. 4 – Výpočet délky vedení pro zaručené odpojení při vzniku pro zaručené sepnutí vnitřních pro zaručené rozepnutí vnitřních relé bezpečnostního modulu příčného zkratu relé bezpečnostního modulu
lv = Rv ⋅ S ⋅ χ U Rv = n − Ri I z min lv Un Izmin S
max. přípustná délka vedení jmenovité napájecí napětí minimální zkratový proud průřez vedení
lv = Rv ⋅ S ⋅ χ Rv =
Cv =
U n ⋅ Rcív − Rcív − Ri U PR
Rv UPR Ri
χ
odpor vedení napětí pro přitažení relé vstupní odpor přístroje vodivost vedení
1 ω ⋅ Rv
Rv =
U n ⋅ Rcív − Ri U OR
Rcív odpor cívky relé UOR napětí pro odpadnutí relé
V každém případě ale musí být zaručeno, že bezpečnostní kombinace spolehlivě rozepne uvolňovací výstupní obvody pokud je aktivován některý z řídicích přístrojů pro snímání požadavku na bezpečnostní funkci. Délka propojovacích vodičů proto musí být omezena tak, aby kapacita vedení nebránila odpadnutí elektromagnetických spínacích prvků uvnitř bezpečnostní kombinace. Z bezpečnostního hlediska je tento faktor zvlášť významný a je nutné věnovat mu odpovídající pozornost, zejména u obvodů, napájených vyššími AC napětími. Také paralelně zapojené vodiče mohou, na základě zvýšené kapacity vedení, významně omezovat maximální přípustnou délku propojovacího vedení. 4. Splnění požadavků jednotlivých kategorií (ČSN EN 954-1) Kategorie B - tato kategorie je určena jen pro BO relativně bezpečných strojů. Ke splnění požadavků stačí dodržovat základní bezpečnostní pravidla pro navrhování řídicích obvodů a používat přístroje vhodné pro BO, vyhovující svým provedením daným vnějším vlivům. Příklad jednoduchého BO kategorie B je uveden na obrázku 1. Kategorie 1 je shodná s kategorii B s tím, že pravděpodobnost výskytu závady je menší. Tato kategorie se má přednostně používat i u relativně málo nebezpečných strojů.Vyšší odolnosti proti závadám ve srovnání s kategorií B lze dosáhnout např. uložením propojovacího vedení do ochranné konstrukce (snížení pravděpodobnosti mechanického poškození vedení a následného přemostění rozpínacího kontaktu řídicího přístroje) nebo předimenzováním stykače, který plní funkci akčního členu (snížení pravděpodobnosti svaření silových kontaktů). Jak kategorie B, tak kategorie 1, jsou charakteristické tím, že jednotlivá závada vede ke ztrátě bezpečnostní funkce obvodu, přičemž závada není detekována. Kategorie 2 vyžaduje, aby bezpečnostní funkce byla řídicím systémem stroje pravidelně kontrolována ve vhodných intervalech, přičemž délka intervalu závisí na druhu a použití stroje. Při výskytu jednotlivé závady sice může dojít ke ztrátě bezpečnostní funkce obvodu, ale při pravidelné kontrole musí být závada detekována řídicím systémem stroje. 5
Pravidelnou kontrolou je periodický test funkčnosti BO, prováděný obvykle vypnutím a opětným zapnutím napájecího napětí. Minimální interval pro kontrolu funkce BO musí být uveden v technické dokumentaci stroje, pokyny pro provádění testu musí být součástí návodu na používání, a obsluha musí být prokazatelně poučena o tom, jak je požadováno postupovat. Pokud řídicí systém stroje detekuje při testu závadu některé části BO, např. svaření silových kontaktů stykače - akčního členu, musí být zabráněno opětnému spuštění stroje. Je zřejmé, že tento požadavek je možné zajistit jedině použitím speciální vyhodnocovací jednotky, která je zařazena mezi řídicí přístroj pro snímání požadavku na bezpečnostní funkci a akční člen, který bezpečnostní funkci provádí. Velmi důležitý je obvod zpětné vazby, umožňující kontrolu akčního členu (stykač musí mít nucené vedení kontaktů) prostřednictvím tlačítka RESET a vnitřní logiky vyhodnocovací jednotky, neboť po připojení napájecího napětí lze vyhodnocovací jednotku uvést do aktivního stavu pouze uzavřením obvodu zpětné vazby (stisknutím tlačítka RESET). Pokud je detekována závada akčního členu, např. svaření silových kontaktů, nelze vyhodnocovací jednotku „nastartovat“. ZDROJ Řídící přístroj (kontakt)
Jistič
RESET
Vstupy
Nadproud ochrana Logika pro zpracování signálů
Periodické (cyklické) testování
3
Vyhodnocovací jednotka
STYKAČ Výstupy POHON
Akční člen (cívka)
Cívka stykače
Obr. 5 Typická struktura BO pro splnění požadavků kategorie 2 a příklad jeho zapojení do obvodu Vyhodnocovací jednotka je při testu schopná kontrolovat jen ty části BO, která během testování mění stav, tj. svoje vnitřní obvody a připojený akční člen. Pokud dojde k přemostění kontaktu řídicího přístroje, není řídicí systém schopen závadu detekovat ani v případě, že je funkce BO kontrolována aktivací řídicího přístroje (např. stisknutím ručně ovládaného tlačítka, přestavením bezpečnostního ochranného zařízení apod.), neboť pro detekování závady ve vstupním obvodu nemá vyhodnocovací jednotka dostatek informací. Jen obsluha stroje je při pravidelné kontrole bezpečnostní funkce schopná zjistit závadu řídicího přístroje, (zařízení nereaguje na vstupní signál) a záleží jen na uvážení obsluhy, jaký další postup zvolí. V ideálním případě obsluha uvede stroj do bezpečného stavu vypnutím hlavního vypínače. Pravděpodobnost vzniku závady ve vstupním obvodu lze snížit uložením propojovacího vedení mezi vyhodnocovací jednotkou a řídicím přístrojem tak, aby nemohlo dojít k jeho mechanickému poškození a umístěním řídicího přístroje tak, aby nemohl být jednoduchým způsobem vyřazen z činnosti (přemostěním). Kategorie 3 - v BO nesmí výskyt jednotlivé závady vést ke ztrátě bezpečnostní funkce obvodu, přičemž některé, ale ne všechny, závady musí řídicí systém stroje detekovat. Nakupení (nahromadění) nedetekovaných závad může vést ke ztrátě bezpečnostní funkce obvodu. Předpokladem pro splnění požadavků kategorie 3 je opět použití speciální vyhodnocovací jednotky a využití principů redundance a různosti při návrhu bezpečnostního obvodu jako celku 6
(samotná vyhodnocovací jednotka těchto principů využívat musí). Řídící přístroj 1. kanálu
Řídící přístroj 2. kanálu ZDROJ 3 JISTIČ
Vyhodnocovací jednotka
Vstupy
Nadproud. ochrana Logika pro zpracování signálů
Logika pro zpracování signálů
Vyhodnocovací STYKAČ 1.kanál
jednotka
2.kanál Výstupy Akční člen 1. kanálu
Akční člen 2. kanálu
POHON Cívky stykačů
Obr. 6 Typická struktura BO pro splnění požadavků kategorie 3 a příklad jeho zapojení do obvodu Kompletní zdvojení řídicích přístrojů, tj. spínačů, včetně jejich ovládačů je vhodné (dokonce žádoucí) u bezpečnostních spínačů pro kontrolu polohy bezpečnostních ochranných zařízení (ochranných krytů, dveří apod.). Na první pohled je však nesmyslné zdvojení ovládačů u ručně ovládaných tlačítek, např. pro nouzové vypnutí nebo zastavení, které by k větší bezpečnosti obsluhy jistě nepřispělo, spíše naopak. V tomto případě stačí opatřit jeden řídicí přístroj dvěma rozpínacími kontakty (musí být použity dvě oddělené rozpínací jednotky), které jsou s vyhodnocovací jednotkou BO spojeny dvěma samostatnými kanály (teoreticky by vedení obou kanálů měla být uložena odděleně). Při obdobné úvaze o akčním členu BO je zřejmé, že redundance je nutná hlavně u kontaktové části spínacího prvku, neboť jakákoliv závada na vedení k cívce (zkrat mezi vodiči, přerušení vedení) má za následek vypnutí akčního členu, tedy uvedení zařízení do bezpečného stavu. Jako redundantní akční člen je tedy možné použít např. dva stykače, jejichž silové kontakty jsou zapojeny v sérii a cívky paralelně. Princip různosti vyžaduje, aby stykače byly např. od dvou různých výrobců nebo alespoň různě dimenzované. Řídicí systém stroje musí být schopen detekovat jak závadu na kterémkoliv akčním členu (stykače musí mít nucené vedení kontaktů), tak závadu na kterémkoliv řídicím přístroji (v kterémkoliv vstupním kanálu), neboť vyhodnocovací jednotka dostává redundantní informace o stavu řídicího přístroje. Samozřejmým předpokladem pro splnění požadavků je samočinná vzájemná kontrola logiky pro zpracování signálů kanálu jedna a logiky pro zpracování signálů kanálu dva uvnitř vyhodnocovací jednotky. Samočinná kontrola celého BO proběhne vždy při aktivování řídicího přístroje. Vzhledem k tomu, že vstupní signály mají stejnou polaritu, řídicí systém není schopen detekovat příčný zkrat mezi oběma vstupními kanály. Pokud tedy dojde k přemostění řídicího přístroje v kanálu jedna a navíc vznikne příčný zkrat mezi oběma kanály, je závada kanálu jedna přenesena do kanálu dva a dojde ke ztrátě bezpečnostní funkce obvodu vlivem nahromadění nedetekovaných závad (obvod není schopen plnit bezpečnostní funkci). BO kategorie 3 nevyžadují kontrolu příčného zkratu v obvodu startovacího tlačítka RESET. Kategorie 4 - velmi tvrdé požadavky mohou splnit jen takové BO, ve kterých jsou všechny závady detekovány dostatečně včas, aby bylo zabráněno ztrátě bezpečnostní funkce, přičemž při 7
výskytu jakýchkoliv závad musí být bezpečnostní funkce obvodu vždy zachována. Základní zapojení bezpečnostního obvodu pro kategorii 4 vychází ze zapojení pro kategorii 3 (obr. 6), obsahuje však některá „vylepšení“, odstraňující nedostatky kategorie 3. Řídící přístroj 1. kanálu
Řídící přístroj 2. kanálu ZDROJ
Vyhodnocovací jednotka
Logika pro zpracování signálů
Vstupy
Logika pro zpracování signálů
Vyhodnocovací STYKAČ 1.kanál
jednotka
2.kanál Výstupy Akční člen 1. kanálu
Akční člen 2. kanálu
POHON Cívky stykačů
Obr. 9 Typická struktura BO pro splnění požadavků kategorie 4 a, příklad jeho zapojení do obvodu Vstupní mají signály různou polaritu, takže řídicí systém je schopen detekovat příčný zkrat mezi oběma kanály (např. při použití různých napěťových potenciálů pro napájení vstupních obvodů dojde při vzniku příčného zkratu k přetavení přeřazené pojistky, což bezpečnostní obvod vyhodnotí jako požadavek na bezpečnostní funkci a uvede zařízení do bezpečného stavu. Kategorie 4 rovněž požaduje, aby byl detekován také příčný zkrat v obvodu tlačítka RESET, tj. přemostění tlačítka. Splnění tohoto požadavku je možné za předpokladu, že vstupní obvod vyhodnocovací jednotky, na který je připojeno tlačítko RESET, reaguje až na sestupnou hranu vstupního signálu. V případě, že jsou na místě vyhodnocovací jednotky použity bezpečnostní moduly, musí být v provedení kontrolovaný start. 5. Závěr Součástí návrhu každého BO musí být rozbor odolnosti obvodu proti závadám, tzv. analýza závad, umožňující souhrnným a přehledným způsobem posouzení vlastností obvodu a jejich porovnání s požadavky norem Literatura: ČSN EN 60204-1: (33 2200) Bezpečnost strojních zařízení - Elektrická zařízení strojů - Část 1: Všeobecné požadavky) ČSN EN 954-1. (83 3205) Bezpečnost strojních zařízení. Bezpečnostní části řídicích systémů. Část 1: Všeobecné zásady pro konstrukci .
8
