В каталозите PL и SIL спокойно стоят един до друг. Контролерът за безопасност е сертифициран за SIL 3 и PL e, задвижването със STO също, а релето има впечатляващ сертификат. Но когато трябва да опишем, изчислим и валидираме цялата функция за безопасност на машина, много по-често стигаме до БДС EN ISO 13849-1. Затова въпросът ISO 13849 или IEC 62061 не се решава по логото върху най-скъпия компонент.
Причината не е просто, че ISO 13849 е по-лесна. Машината не е електрическо табло. Отварянето на предпазен ограждащ елемент може да задейства механична гърбица, краен изключвател, контролер, пневматичен разпределител, възвратна пружина и механична спирачка. Това не са отделни защити, а един общ път до безопасното състояние.
Сертификатът на релето не спира машината. Спира я цялата функция за безопасност — от физическото задействане до овладяването на опасната енергия.
ISO 13849 или IEC 62061: първо функцията, после PL или SIL
В много проекти редът е обърнат. Първо се избират контролер, светлинна завеса, реле или задвижване със STO. След това към готовата конфигурация се добавя описание от типа „при отваряне на вратата машината спира“.
Това не е спецификация на функция за безопасност. Това е заглавие. Не става ясно кои движения трябва да спрат, какво се случва с пневматичната и хидравличната енергия, колко бързо трябва да се достигне безопасното състояние и как то ще бъде задържано.
Думата „спиране“ може да означава съвсем различни физически реакции:
- STO — безопасно изключване на въртящия момент, при което движението може да продължи по инерция;
- SS1 — контролирано забавяне, последвано от STO;
- SS2 — контролирано спиране и преминаване към наблюдаван безопасен покой;
- SOS — поддържане и наблюдение на безопасен покой при активно задвижване;
- координирана последователност за оси, клапани, спирачки и спомагателни системи.
„Машината спира“ не е функция за безопасност. Това е резултат, зад който могат да стоят свободно движение по инерция, контролирано забавяне или активно задържане на позицията.
При вертикална ос STO може да премахне въртящия момент и едновременно с това да освободи пътя на гравитацията. А гравитацията, за разлика от контролера, не чака разрешаващ бит. Трябва да е ясно дали оста ще бъде задържана от спирачка, хидравличен клапан, механичен стопор или комбинация от мерки.
БДС EN ISO 13849-1 поставя тук спецификацията на изискванията за безопасност, известна като SRS. За всяка функция тя трябва да определи поне:
- иницииращото събитие;
- опасните движения и енергии;
- изискваната реакция;
- безопасното състояние и начина за неговото поддържане;
- максимално допустимото време за реакция;
- режимите, в които функцията е активна;
- поведението при дефект или загуба на енергия;
- условията за възстановяване и повторно пускане.
Едва след това PLr или изискваният SIL придобиват смисъл. Те не казват какво трябва да направи функцията, а колко надеждно трябва да го направи.
PLr не определя реакцията на машината. Той определя изискваната надеждност на вече ясно специфицираната реакция.
Границата на функцията не минава по ръба на електрическото табло
В блоковата схема всичко изглежда подредено: вход, логика и изход. В реалната машина обаче сигналът не възниква на клемата на контролера. Преди това предпазната врата трябва физически да премести гърбица, ролка, език или плунжер.
Износена ролка, разхлабена панта, неправилен момент на превключване или разместена гърбица могат да попречат на задействането. Контролерът ще обработи контактите безупречно — просто информацията вече няма да отговаря на реалното положение на ограждението.
Контролерът няма достъп до предпазната врата. Той вижда само състоянието на входовете. Лошата механика не се поправя с два канала и добра диагностика.
Същото важи и в края на веригата. Нулата на изхода не е безопасно състояние. Контакторът трябва действително да прекъсне силовата верига, разпределителят трябва да превключи, налягането трябва да бъде отведено, а спирачката трябва да изгради достатъчна сила.
Обикновеният цилиндър обичайно остава извън самата свързана с безопасността част на системата за управление. Това не означава, че поведението му може да бъде игнорирано. При валидирането трябва да се докаже, че машината достига и поддържа безопасното състояние. Ако изпълнителният механизъм съдържа интегриран стопор, заключване или друга подфункция за безопасност, границата трябва да се разгледа отново.
Безопасното състояние не съществува в програмата. То съществува в машината — в спрялото движение, разсеяната енергия и надеждно задържаната ос.
Практичният тест е прост: може ли повредата на конкретния елемент да попречи на откриването на събитието, на изпълнението на реакцията или на поддържането на безопасното състояние? Ако отговорът е „да“, този елемент участва в доказателството за безопасност, независимо дали е процесор, клапан или парче стомана.
Контролер със SIL 3 не създава автоматично функция със SIL 3
Контролерът за безопасност често е най-добре документираният компонент. Той има два процесора, самодиагностика, определена PFH, ограничения за приложение и сертификат. Това описва способността на подсистемата при правилно използване. Не прехвърля SIL 3 върху датчиците, окабеляването, програмата, контакторите, клапаните и спирачките.
SIL 3 не се разпространява по инсталацията като 24 V. Сертификатът определя възможностите на подсистемата, а не нивото на цялата машина.
Типичната функция съдържа последователно свързани входна, логическа и изходна подсистема. Ако опасната повреда на която и да е от тях проваля функцията, приносът на всички подсистеми трябва да бъде отчетен.
Да приемем, че всяка от три подсистеми има PFH 8 × 10−8 на час. Поотделно стойността попада в диапазона на PL e. За цялата функция получаваме:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 на час
Резултатът вече е в диапазона на PL d. Три подсистеми, всяка способна на PL e, не дават задължително функция с PL e. Повече последователни елементи означават повече места за опасна повреда.
PL e + PL e + PL e не е непременно PL e. Нивата не се събират; събират се приносите към PFH.
Високо ниво се постига чрез архитектура, а не чрез колекциониране на сертификати. Това включва ограничаване на критичните единични откази, разумна резервираност, диагностично покритие, мерки срещу откази по обща причина и контрол на систематичните грешки в хардуера и софтуера.
ISO 13849 или IEC 62061 при смесени технологии
Най-силното практическо предимство на ISO 13849 се вижда, когато една функция преминава през няколко технологии. Предпазната врата премества механична гърбица. Тя задейства електромеханичен изключвател. Сигналът влиза в реле или контролер за безопасност. Изходът обезточва пневматичен разпределител, пружината връща плъзгача, а механична спирачка задържа оста.
За машината това е една функция. Разделението на автоматика, пневматика и механика съществува само в проектните отдели.
Организационната граница не е граница на безопасността. Машината не се интересува кой отдел е проектирал клапана и кой е монтирал гърбицата.
БДС EN ISO 13849-1 е приложима към свързаните с безопасността части на системите за управление независимо от използваната технология и вида енергия. Това позволява една и съща функция да бъде разделена на подходящи подсистеми и да бъде оценен приносът на всяка от тях.
Това не означава, че всяка пружина или болт получава собствен PL. Оценяват се подсистемите и цялата функция. Но ако възвратната пружина трябва да постави клапана в безопасно положение, трябва да бъдат разгледани счупване, загуба на сила, неправилен монтаж, блокиране от замърсяване и недостатъчно усилие за преодоляване на триенето.
Липсата на електроника не означава липса на влияние върху безопасността. Една пружина може да провали функцията също толкова убедително, колкото дефектен изходен модул.
Същият принцип важи за гърбицата на крайния изключвател и за механичната спирачка. Те нямат собствено програмно осигуряване, но от геометрията, износването, закрепването и силата им може да зависи дали опасното движение ще бъде открито и овладяно.
ISO 13849 работи с данните, които реално се срещат в машините
Изборът между PL и SIL често се решава не на ниво теория, а според наличните данни. Контролерите, светлинните завеси и задвижванията със STO обикновено идват с PFH, PL, SIL, време за реакция и ясни ограничения. При контактори, клапани, крайни изключватели, заключващи механизми и спирачки данните често са различни.
За компоненти с механично износване производителят може да предостави B10D — броя цикли, след който 10% от изпитваните компоненти са получили опасна повреда. Тази стойност трябва да се свърже с реалния брой операции за година. Един клапан, превключван пет пъти на смяна, и същият клапан, превключван на всеки две секунди, нямат еднаква надеждност в приложението.
Каталожният номер може да е един и същ. Натрупаното износване — не. B10D без реалния брой цикли е само число с добър външен вид.
ISO 13849 позволява използването на различни видове доказателства:
- декларирани PL, SIL и PFH за валидирани подсистеми;
- B10D и броя операции за елементи, подложени на износване;
- MTTFD, предоставено от производителя;
- данни от приложими продуктови стандарти;
- основни и изпитани принципи за безопасност;
- изпитани компоненти;
- архитектура, диагностика и мерки срещу откази по обща причина;
- обосновано изключване на конкретни дефекти.
Табличните и типичните стойности не са разрешение да се пренебрегнат условията на работа. Замърсен въздух, неправилно смазване, прекомерно натоварване, висока честота на превключване или неподходящ монтаж могат да обезсилят приетата стойност.
Особено внимание изисква изключването на дефект. То не означава „това няма да се счупи“. Трябва да бъде посочен конкретният отказ и да се докаже защо е пренебрежимо малко вероятен при определени натоварвания, материали, геометрия, монтаж и условия на експлоатация.
Изключването на дефект не е липса на анализ. То е един от най-трудните резултати на анализа и трябва да издържа на физиката, не само на оптимизма.
ISO 13849 или IEC 62061 след разширения обхват на IEC 62061
Старото обяснение, че IEC 62061 е само за електрически, електронни и програмируеми електронни системи, вече не е достатъчно. Изданието от 2021 г. разшири подхода и към неелектрически технологии в рамките на функциите за безопасност.
Следователно пневматичен клапан, механично задействан изключвател или спирачка не изключват автоматично прилагането на IEC 62061. Функцията може да бъде моделирана чрез подсистеми и оценена в рамките на SIL.
Пневматиката вече не е извън обхвата на IEC 62061. Но разширеният обхват на стандарта не създава автоматично липсващите данни за надеждност.
Точно тук остава практическата трудност. Производителите на електронни устройства често предоставят готови PFH и ограничения за SIL. За клапан, уплътнение, пружина или механизъм може да има B10D, циклична издръжливост, резултати от изпитвания или само продуктови ограничения.
При функция от вида аварийно спиране → контролер за безопасност → разпределител → цилиндър трябва да бъде моделирана изходната подсистема. Ако производителят е предоставил валидирана PFH и ясни условия, стойността може да се използва. Ако не е, моделът трябва да се изгради чрез данни за компонентите, архитектурата, диагностичните тестове, профилактиката и обоснованите допускания.
Трябва да бъдат разгледани поне опасни режими като блокиране на клапана в отворено положение, вътрешен теч, забавено превключване и отслабване на възвратната пружина. Елементът може формално да се движи, но да не достигне безопасното положение в допустимото време.
IEC 62061 може да включи пневматиката в модела. Инженерът обаче трябва да докаже самия модел — стандартът не превръща износения клапан в електронен компонент с удобна постоянна честота на отказите.
Затова IEC TS 63394:2023 е важна за по-реалистичното разглеждане на механични, пневматични и хидравлични технологии. Тяхното поведение зависи от цикли, замърсяване, смазване, монтаж и стареене и невинаги се описва убедително с моделите, типични за електрониката.
Следователно IEC 62061 е напълно възможен и често отличен избор за смесени системи. ISO 13849 обаче остава по-познатата практическа среда, защото от години работи с B10D, MTTFD, категории, диагностично покритие, изпитани принципи и типични режими на отказ за различни технологии.
Компонент със SIL не принуждава цялата функция да използва SIL
Наличието на контролер със SIL 3, светлинна завеса със SILCL 3 или задвижване със STO до SIL 3 не означава, че цялата функция задължително трябва да бъде проектирана по IEC 62061.
БДС EN ISO 13849-1 позволява в една функция да се използват подсистеми, валидирани по ISO 13849, IEC 62061, серията IEC 61508 или приложими продуктови стандарти. Сертифицираният контролер може да бъде третиран като валидиран блок, без интеграторът да пресъздава вътрешната му архитектура.
Компонентът със SIL определя собствените си възможности и ограничения. Той не избира вместо проектанта метода за оценяване на цялата функция.
Трябва обаче да бъдат спазени всички условия от документацията: допустима архитектура, периодични изпитвания, време на експлоатация, диагностични интервали, мерки срещу откази по обща причина, условия на средата и ограничения на конкретната функция.
Не е необходимо на подсистема, валидирана по IEC 62061 или IEC 61508, изкуствено да се приписва категория 3 или 4. Категорията описва структура и поведение при дефект по ISO 13849; тя не е друго име на SIL.
Къде се срещат PL и SIL
PL и SIL могат да бъдат съпоставени чрез диапазоните на средната честота на опасен отказ на час при често задействане или непрекъснат режим:
- PL b и PL c корелират със SIL 1;
- PL d корелира със SIL 2;
- PL e корелира със SIL 3;
- PL a няма пряка корелация в скалата SIL.
Това не означава, че PL d и SIL 2 са идентични методи. Те могат да завършат в съответстващ диапазон на PFH, но използват различни изисквания към архитектурата, толерантността към дефекти, систематичната цялост, разработването на софтуера и процеса на валидиране.
От ISO 12100 към конкретната функция за безопасност
Оценката на риска често завършва с мярка като „да се монтира ограждение с блокировка“. Това е правилна посока, но все още не е техническа функция. Не е определено какво се открива, кои движения се спират, как се управлява натрупаната енергия и кога повторното пускане е допустимо.
ISO 12100 определя къде и защо е необходимо допълнително намаляване на риска. Когато то зависи от система за управление, SRS трябва да превърне решението в конкретни функционални изисквания, а ISO 13849 или IEC 62061 да даде метод за доказване на необходимата надеждност.
Краят на оценката на риска не е изречението „монтирайте блокировка“. Точно там започва проектирането на функцията за безопасност.
БДС EN ISO 13849-1:2023 свързва проектирането на свързаните с безопасността части на системата за управление с итеративния процес за намаляване на риска по ISO 12100. Това е особено важно, когато оценката на риска, механичната конструкция и автоматизацията се изпълняват от различни хора или организации.
Работата по проекта ISO/DIS 12100.3 също показва посока към по-пряко обвързване на оценката на риска със специфицирането на функциите за безопасност. Това не отстранява IEC 62061 и не превръща ISO 13849 в единствен избор. Подчертава нещо по-важно: функцията трябва да бъде определена преди избора на архитектура и компоненти.
Защо при машините по-често виждаме PL, а не SIL
Отговорът вече не може да бъде „защото IEC 62061 е само за електроника“. Това не е вярно за актуалното издание. Не е достатъчно и обяснението, че ISO 13849 е просто по-лесна.
PL се използва по-често при машините, защото ISO 13849 предлага установен и практически удобен начин за обединяване на:
- електронни подсистеми с PFH, PL или SIL;
- електромеханични компоненти с B10D;
- пневматични и хидравлични елементи;
- механични части, участващи в откриването или задържането;
- категории, диагностично покритие и мерки срещу откази по обща причина;
- качествени оценки, систематични грешки и изключване на дефекти;
- верификация и физическо валидиране на безопасното състояние.
Правилният избор изисква четири ясни отговора: какво трябва да направи функцията, през кои технологии преминава, с какви надеждностни данни разполагаме и коя методика позволява да докажем целия път без изкуствени прекъсвания.
IEC 62061 е силен избор при добре структурирани функции, ясно дефинирани подсистеми и достатъчни данни за PFH и систематичната цялост. ISO 13849 често е по-естествена при типичните машинни комбинации от датчици, контактори, клапани, пружини, спирачки и сертифицирана логика.
Машината не спира върху сертификата и не спира на изхода на контролера. Тя е безопасна едва когато цялата функция открие събитието, изпълни правилната реакция и задържи безопасното състояние.
Затова изборът ISO 13849 или IEC 62061 трябва да бъде инженерно решение, а не спор между съкращения. Първо се определят опасността, реакцията и безопасното състояние. След това се избират архитектурата, компонентите и методът за доказване. Накрая функцията се валидира върху реалната машина — там, където физиката има последната дума.