Uitvalbeveiliging van een vermogensschakelaar (breaker failure protection, ANSI 50BF) — de laatste vangnetlaag als een schakelaar niet opent

De gids over LSI(G)-instellingen en de gids over zone-selectieve vergrendeling (ZSI) behandelen beide hoe een vermogensschakelaar op het juiste moment een uitschakelcommando ontvangt. Beide gaan echter stilzwijgend uit van een aanname die niet altijd klopt: dat de schakelaar dat commando ook daadwerkelijk uitvoert. Dit artikel behandelt de beveiligingslaag die specifiek voor het geval ontworpen is dat die aanname faalt: uitvalbeveiliging (breaker failure protection), in de praktijk aangeduid met de ANSI-code 50BF.

Waarom een schakelaar een uitschakelcommando kan negeren

Een vermogensschakelaar kan om verschillende mechanische of elektrische redenen niet openen ondanks een correct uitschakelcommando van zijn beveiligingsrelais: een mechanisch vastgelopen of versleten schakelmechanisme, een defecte of niet-bekrachtigde uitschakelspoel, een onderbroken bekrading tussen relais en spoel, of — bij een zware interne fout aan de schakelaar zelf — schade die het mechanisme fysiek belemmert. In al deze gevallen blijft de fout, die het uitschakelcommando juist had moeten opheffen, gewoon bestaan, terwijl alle bovenliggende schakelaars niets van dit falen weten en gewoon hun normale, voor deze fout ingestelde tijdvertraging blijven aanhouden.

Hoe 50BF werkt: stroom bewaken ná het uitschakelcommando

Een 50BF-functie is gekoppeld aan de uitschakelcommando's van de schakelaar die hij bewaakt en werkt in essentie in twee stappen:

1. Zodra de bewaakte schakelaar een uitschakelcommando ontvangt, start een interne starttijd (doorgaans in de orde van enkele tientallen milliseconden) waarna 50BF controleert of er nog steeds stroom door de schakelaar vloeit.
2. Is er na deze starttijd nog steeds stroom aanwezig — een teken dat de schakelaar niet daadwerkelijk geopend is — dan stuurt 50BF onmiddellijk een back-up-uitschakelcommando naar alle omliggende schakelaars waarmee de fout via een andere weg alsnog onderbroken kan worden (bijvoorbeeld de bovenliggende schakelaar in de verdeelinrichting, of andere schakelaars die hetzelfde railstel voeden).

Is de schakelaar wél correct geopend vóór het verstrijken van de starttijd, dan verdwijnt de stroom, detecteert 50BF dit, en wordt er geen back-up-commando verstuurd — de schakelaar heeft zijn eigen taak dan gewoon uitgevoerd en 50BF grijpt niet in.

De fundamentele afweging: extra tijd versus onbeperkt doorwerkende fout

De starttijd van een 50BF-functie is een bewuste afweging tussen twee risico's. Een te korte starttijd loopt het risico dat 50BF ten onrechte ingrijpt terwijl de schakelaar in werkelijkheid nog gewoon bezig is met zijn normale, iets langzamere mechanische openingstijd — met een onnodige, extra grote uitschakeling van gezonde delen van het net tot gevolg. Een te lange starttijd laat een fout, wanneer de schakelaar daadwerkelijk faalt, onnodig lang doorwerken voordat de back-up-schakelaars ingrijpen, met een groter risico op apparatuurschade en een hogere vlamboogenergie (zie de [gids over vlamboog](/guides/nen-3140/vlamboog)). De starttijd wordt daarom zorgvuldig afgestemd op de daadwerkelijke, door de fabrikant opgegeven openingstijd van de specifieke schakelaar, met een beperkte marge erbovenop — niet op een generieke vuistregel die voor elk schakelaartype zou gelden.

50BF is een aanvulling op, geen vervanging van, de primaire beveiliging

Net zoals zone-selectieve vergrendeling (ZSI) de reactietijd van een schakelaar verbetert zonder de onderliggende LSI(G)-instelling te vervangen, is 50BF een vangnetlaag die pas actief wordt wanneer de primaire beveiliging en de bewaakte schakelaar zelf hun taak niet naar behoren uitvoeren. Een correct werkende schakelaar die zijn eigen uitschakelcommando gewoon uitvoert, activeert 50BF nooit — de functie grijpt uitsluitend in bij het specifieke, relatief zeldzame maar potentieel zeer schadelijke scenario van een schakelaar die faalt te openen.

Let op: de exacte starttijd, de precieze stroomdrempel waaronder 50BF concludeert dat de schakelaar wél geopend is, en de vraag welke omliggende schakelaars het back-up-commando ontvangen, volgen uit de systeemstudie en de relaisinstellingen van de betreffende installatie; dit artikel behandelt het principe, niet een pasklare instellingstabel voor elke verdeelinrichting.

Praktische relevantie

Bij het beoordelen van het beveiligingsconcept van een belangrijke verdeelinrichting — met name op plekken waar het uitblijven van een uitschakeling grote gevolgen zou hebben, zoals een hoofdverdeler of een railstel met meerdere invoedingen — is het zinvol te controleren of 50BF-beveiliging aanwezig en correct ingesteld is, en of de inbedrijfstellingstest daadwerkelijk het back-up-scenario (bewaakte schakelaar simuleren als "niet geopend") heeft doorlopen, niet alleen de normale uitschakelfunctie.

Veelgemaakte fouten

1. Aannemen dat een schakelaar altijd opent zodra hij een uitschakelcommando ontvangt — mechanische of elektrische storingen aan de schakelaar zelf blijven zonder 50BF onopgemerkt en onopgelost.
2. De 50BF-starttijd te kort instellen — dit kan leiden tot onterecht ingrijpen terwijl de bewaakte schakelaar nog binnen zijn normale, iets langzamere openingstijd bezig is.
3. De 50BF-starttijd te lang instellen — dit laat een daadwerkelijk falende schakelaar de fout onnodig lang laten doorwerken voordat de back-up-schakelaars alsnog ingrijpen.
4. 50BF niet meenemen in de inbedrijfstellingstest — zonder een expliciete test van het back-up-scenario blijft onduidelijk of de functie daadwerkelijk werkt op het moment dat hij nodig is.

Gerelateerd

• Circuit-breaker instellingen — L, S, I en G in de LSI(G)-beveiligingscurve
• Zone-selectieve vergrendeling (ZSI)
• Vlamboog (arc flash) — risico, energie en PBM
• Vermogensschakelaar (MCCB) versus installatieautomaat (MCB)