Na katalogových listech stojí PL a SIL vedle sebe. Bezpečnostní PLC má SIL 3 a PL e, podobně relé, světelná závora nebo měnič s funkcí STO. Jakmile však přijde na popis, výpočet a validaci celé bezpečnostní funkce stroje, většina konstruktérů sáhne po EN ISO 13849-1. Otázka ISO 13849 nebo IEC 62061 přitom nemá jednoduchou odpověď typu „první norma se snáze počítá“.
Stroj není rozváděč a bezpečnostní funkce není samotné PLC. Otevření krytu musí mechanicky ovládat spínač, signál musí projít logikou a výstupní část musí skutečně odstranit, řídit nebo zachytit nebezpečnou energii. Ventil se musí přestavit, stykač rozpojit, brzda vytvořit sílu a svislá osa nesmí spadnout. To všechno tvoří jeden řetězec.
Certifikát bezpečnostního relé stroj nezastaví. Stroj zastaví až kompletní a správně navržená bezpečnostní funkce.
Právě zde se ukazuje praktická síla ISO 13849. Norma dovoluje jedním postupem posoudit elektrické, elektronické, pneumatické, hydraulické i mechanické části související s bezpečností. IEC 62061 od vydání z roku 2021 rovněž není omezena pouze na elektrické technologie. Formální rozsah normy je však jen začátek. Rozhodující je, zda pro všechny podstatné části existují použitelné údaje a zda z nich lze sestavit věrohodný důkaz bezpečnosti.
1. ISO 13849 nebo IEC 62061: nejdřív funkce, potom PL či SIL
V praxi bývá pořadí často obrácené. Projekt nejprve dostane bezpečnostní PLC, relé, světelnou závoru a měnič s funkcí STO. Teprve potom se k vybraným součástem dopisuje, jakou bezpečnostní funkci mají údajně realizovat. Schéma vypadá profesionálně: dva kanály, diagnostika, SIL 3, PL e. Stále však nemusí být jasné, co má stroj při nebezpečné situaci fyzicky udělat.
Věta „otevření krytu zastaví stroj“ je pouze nadpis. Není to úplná specifikace. Je nutné určit například:
- které pohyby a energie jsou nebezpečné,
- co přesně funkci vyvolá,
- zda se použije STO, SS1, SS2, SOS nebo kombinace funkcí,
- za jak dlouho musí být bezpečného stavu dosaženo,
- jak bude bezpečný stav udržen,
- co se stane při výpadku a obnovení energie,
- ve kterých provozních režimech musí být funkce aktivní,
- za jakých podmínek je dovoleno opětovné spuštění.
STO znamená bezpečné vypnutí točivého momentu. Motor přestane vytvářet moment, ale pohyb nemusí okamžitě zmizet; soustava může setrvačností dobíhat. SS1 nejprve provede řízené zpomalení a následně aktivuje STO. SS2 přejde po řízeném zastavení do bezpečně monitorovaného klidu. SOS bezpečný klid aktivně udržuje a monitoruje při napájeném pohonu.
Tyto reakce nejsou zaměnitelné. U rychlé osy může volný doběh prodloužit dobu zastavení. U svislé osy může samotné STO odstranit hnací moment a současně uvolnit cestu gravitaci. U mechanicky citlivého zařízení zase příliš prudké zastavení vytvoří nové nebezpečí.
Nejdřív definujte událost, reakci a bezpečný stav. Teprve potom vybírejte PL, SIL, architekturu a součásti.
EN ISO 13849-1 tento krok formalizuje pomocí specifikace požadavků na bezpečnost, obvykle označované zkratkou SRS. Ta propojuje posouzení rizik podle ISO 12100 s návrhem částí řídicího systému souvisejících s bezpečností. Nejde o přílohu dopsanou před předáním stroje. Je to vstupní dokument pro návrh.
Teprve po definování funkce má smysl určit požadovanou úroveň vlastností PLr nebo požadovanou úroveň integrity bezpečnosti SIL. PLr neříká, co má stroj udělat. Vyjadřuje, s jakou spolehlivostí musí definovanou reakci provést. Dosažená úroveň PL musí požadovanou PLr splnit nebo překročit.
Stav bitu v PLC nikoho nezraní ani nezachrání. Rozhoduje energie, dynamika stroje a skutečný fyzický stav po zásahu bezpečnostní funkce.
2. Hranice bezpečnostní funkce nekončí na rozváděči
Na blokovém schématu bývá vše čisté: vstup, logika, výstup. V reálném stroji se však bezpečnostní signál nerodí na svorce PLC. Kryt musí nejprve pohnout vačkou, kladkou, jazýčkem nebo jiným ovládacím prvkem spínače. Vůle závěsu, opotřebená kladka, povolené upevnění nebo nevhodně zvolený bod sepnutí mohou způsobit, že otevřený kryt nebude detekován.
Dvoukanálové zapojení ani diagnostika PLC špatnou mechaniku neopraví. Řídicí systém vidí elektrické kontakty, nikoli skutečnou polohu ochranného krytu. Jestliže oba kanály dostanou shodně nesprávnou informaci, mohou ji zpracovat zcela bezchybně.
Stejný problém je na výstupu. Nulový stav výstupu PLC ještě neznamená, že:
- stykač rozpojil výkonový obvod,
- pneumatický ventil přešel do bezpečné polohy,
- z hydraulického obvodu zmizel tlak,
- brzda vytvořila požadovanou sílu,
- nebezpečný pohyb skončil v předepsaném čase.
Hranice funkce nevede po obvodu rozváděče. Vede od místa, kde se fyzická událost mění na informaci, až k místu, kde se informace znovu mění na fyzický bezpečný stav.
To neznamená, že se do výpočtu PL musí zahrnout celý stroj. ISO 13849 rozlišuje části řídicího systému související s bezpečností od samotného pracovního mechanismu. Ventily mohou tvořit výstupní subsystém, zatímco běžný válec obvykle zůstává mimo vlastní SRP/CS. Jeho chování však stále může být důležité při validaci dosažení bezpečného stavu.
Rozhodující není organizační odpovědnost ani použitá technologie. Praktická otázka zní: může porucha daného prvku zabránit detekci události, provedení reakce nebo udržení bezpečného stavu? Pokud ano, musí být jeho role v důkazu bezpečnosti řešena, i když jde jen o kus oceli, pružinu nebo mechanickou západku.
3. Bezpečnostní PLC se SIL 3 nevytvoří funkci SIL 3
Bezpečnostní PLC bývá nejlépe zdokumentovanou částí systému. Má dva procesory, vlastní diagnostiku, PFH, SIL 3, PL e a rozsáhlý certifikát. To snadno vede k chybnému závěru, že stejnou úroveň získá celý stroj.
SIL 3 se instalací nerozšíří do kabelů, snímačů, ventilů ani aplikačního programu. Certifikát popisuje schopnost jednoho subsystému za přesně stanovených podmínek.
Typická funkce se skládá alespoň ze vstupního, logického a výstupního subsystému. Každý z nich může nebezpečně selhat. PLC může správně přijmout signál, provést program a vypnout výstup, ale ventil se nepřestaví, stykač zůstane svařený nebo nesprávně navržené opětovné spuštění okamžitě povolí další pohyb.
EN ISO 13849-1 dovoluje kombinovat subsystémy posouzené podle ISO 13849, IEC 62061, řady IEC 61508 nebo příslušných výrobkových norem. Nejvyšší úroveň jednoho bloku se však nepřenáší na celý řetězec. Je nutné respektovat omezení každého subsystému a posoudit jejich spojení.
PFH se nesčítá podle přání projektanta
Jsou-li známy hodnoty průměrné četnosti nebezpečných poruch za hodinu, pro sériově spojené subsystémy se jejich příspěvky sčítají. Předpokládejme vstup, logiku a výstup, každý s PFH rovným 8 × 10−8 za hodinu. Samostatně se každý blok nachází v rozsahu PL e. Celá funkce však dosáhne:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 za hodinu.
Výsledek již spadá do rozsahu PL d. Tři subsystémy s PL e tedy nemusejí vytvořit funkci s PL e.
PL e + PL e + PL e nemusí být PL e. Počet míst možného nebezpečného selhání roste a matematika katalogové dojmy nerespektuje.
Vysoké úrovně se nedosahuje hromaděním certifikátů, ale návrhem struktury. Je třeba omezit zbytečné sériové závislosti, použít účelnou diagnostiku, vhodnou redundanci a opatření proti poruchám se společnou příčinou. Dva stejné kanály nejsou bezpečné, pokud je může současně vyřadit stejná chyba napájení, prostředí, montáže nebo programu.
Certifikát PLC navíc neověřuje správné umístění krytového spínače, detekci zkratu mezi kanály, zpětnou vazbu stykačů, diagnostiku ventilu ani logiku ručního režimu vytvořenou integrátorem. Výrobce posoudil své zařízení, nikoli konkrétní stroj.
4. Jedna bezpečnostní funkce, několik technologií
Skutečná funkce může začít mechanickou vačkou, pokračovat elektromechanickým spínačem a bezpečnostním relé a skončit pneumatickým ventilem s pružinovým návratem. Pokud je nutné udržet svislou osu, přidá se mechanická brzda nebo hydraulický zámek.
Z pohledu podniku se na návrhu mohou podílet mechanik, elektrokonstruktér, programátor a specialista na pneumatiku. Stroj ale jejich organizační hranice nezná. Pokud jeden prvek nesplní svou úlohu, bezpečného stavu nebude dosaženo.
Jedna funkce může projít mechanikou, elektrotechnikou, elektronikou, pneumatikou i hydraulikou. Stále je to jedna funkce a musí mít jeden souvislý důkaz bezpečnosti.
To je hlavní důvod, proč se úroveň vlastností v konstrukci strojů tolik prosadila. ISO 13849 od počátku nabízí přirozený model pro systémy kombinující různé technologie a druhy energie. Funkci lze rozdělit na subsystémy a u každého popsat jeho úlohu, rozhraní, možné poruchy a příspěvek k celkové spolehlivosti.
Neznamená to, že každá pružina dostane vlastní PL. PL není známka kvality přiřazená jednotlivé součásti. Hodnotí se subsystém a nakonec kompletní bezpečnostní funkce. Pokud však pružina přestavuje ventil do bezpečné polohy, je nutné řešit její prasknutí, ztrátu síly, chybnou montáž, zablokování nečistotami i nedostatečnou sílu vůči odporu mechanismu.
Stejně tak mechanická vačka nemusí mít certifikát, přesto její geometrie, upevnění a odolnost proti posunutí rozhodují o detekci otevření krytu. Brzda může správně dostat povel, ale nevytvořit potřebný moment. Elektronická část pak pracuje bez chyby, zatímco celá bezpečnostní funkce selže.
PL není odznak pro každou pružinu a šroub. Je to výsledek posouzení architektury a chování celého bezpečnostního řetězce.
5. ISO 13849 využívá údaje, které u strojních součástí skutečně existují
U bezpečnostního PLC nebo měniče bývají k dispozici PL, SIL, PFH, doba reakce, omezení použití a pokyny k integraci. U stykače, ventilu, polohového spínače nebo mechanického zámku bývá situace jiná. Výrobce může uvádět B10D, počet přípustných cyklů, provozní podmínky nebo jen shodu s výrobkovou normou.
ISO 13849 s touto realitou počítá. Certifikovaný subsystém se známým PFH lze převzít jako validovaný blok, pokud je použit v mezích stanovených výrobcem. U součástí podléhajících mechanickému opotřebení lze pracovat s parametrem B10D a očekávaným počtem sepnutí za rok.
ISO 13849 není praktická proto, že by vyžadovala méně důkazů. Je praktická proto, že dovoluje důkaz sestavit z údajů, které jsou ve strojírenství reálně dostupné.
B10D představuje počet cyklů, při kterém nebezpečně selže deset procent zkoušených součástí. Samotná hodnota ale nestačí. Shodný ventil spínaný pětkrát za směnu a ventil spínaný každé dvě sekundy mají stejný katalogový kód, nikoli stejnou životnost v dané aplikaci. Z B10D a středního počtu operací lze odvodit MTTFD, tedy střední dobu do nebezpečné poruchy.
Projektant musí zároveň vědět, co výrobce považoval za nebezpečnou poruchu. Ventil se může stále pohybovat, ale příliš pomalu. Stykač může mít přijatelné elektrické parametry, zatímco jeho mechanika je opotřebená. Spínač může vykazovat vysokou elektrickou životnost, ale ovládací kladka již nereaguje na pohyb krytu.
Příloha C ISO 13849-1 nabízí metody a typické hodnoty pro vybrané mechanické, hydraulické, pneumatické a elektromechanické součásti. Jejich použití je podmíněno dodržením výrobkových norem, bezpečnostních zásad, určeného použití a provozních podmínek. Hodnota nalezená v tabulce proto není automatickou vlastností libovolné součásti.
Kvantitativní výpočet nestačí
Posouzení PL zahrnuje MTTFD, diagnostické pokrytí, poruchy se společnou příčinou a kategorii architektury. Vedle čísel však musí řešit také systematické chyby, software, prostředí, chování při poruše, ověřené bezpečnostní zásady a případná vyloučení poruch.
Vyloučení poruchy není technický způsob, jak napsat „tohle se nerozbije“. Musí se vztahovat ke konkrétnímu druhu poruchy a vycházet z konstrukce, materiálu, zatížení, prostředí, montáže a známých fyzikálních zákonů. Obecné tvrzení, že součást je robustní, není důkaz.
Vyloučení poruchy není vynechání analýzy. Je to jeden z jejích nejnáročnějších závěrů a musí být konkrétně zdůvodněn.
Právě kombinace výpočtu a kvalitativního posouzení je pro stroje důležitá. Pravděpodobnost chybně upevněné vačky, nesprávně namontované pružiny nebo obejitého blokování nelze vždy věrohodně převést na jednu hodnotu PFH. Tyto problémy je nutné řešit konstrukcí, kontrolou, zkouškami a validací.
6. ISO 13849 nebo IEC 62061 u neelektrických technologií
Starší zjednodušení tvrdilo, že ISO 13849 patří celé strojní technice, zatímco IEC 62061 pouze elektrickým, elektronickým a programovatelným systémům. Historicky mělo takové rozdělení oporu v rozsahu dřívějšího vydání IEC 62061. Od vydání z roku 2021 už však neplatí.
IEC 62061 dnes může zahrnovat také neelektrické technologie. Mechanický spínač, pneumatický ventil ani hydraulický subsystém samy o sobě použití této normy nevylučují. Funkce s pneumatickým výstupem tedy může být navržena a posouzena v rámci SIL.
IEC 62061 už není normou pouze pro elektrické systémy. Rozšíření rozsahu však samo nevytvoří chybějící údaje o pružině, ventilu, těsnění nebo brzdě.
Problém se přesunul od otázky „smí se tato technologie zahrnout?“ k otázce „jak pro ni sestavíme věrohodný model spolehlivosti?“. U výstupního pneumatického subsystému je nutné posoudit například:
- zablokování ventilu v nebezpečné poloze,
- vnitřní netěsnost,
- pokles síly vratné pružiny,
- selhání pilotního ovládání,
- vliv znečištění a kvality vzduchu,
- diagnostiku polohy nebo tlaku,
- případnou redundanci a periodické zkoušky.
Pokud výrobce dodá validované PFH a omezení použití celého subsystému, lze je použít v hodnocení SIL. Pokud údaje chybějí, musí projektant sestavit model z dostupných dat, zkoušek, konzervativních předpokladů, diagnostiky a architektury. Bez údajů nebo obhajitelného modelu bude daný subsystém omezovat celý řetězec.
Pneumatika není mimo IEC 62061. Musí však být převedena na obhajitelný model spolehlivosti, a právě tam začíná skutečná práce.
Technická specifikace IEC TS 63394 rozvíjí postupy pro mechanické, pneumatické a hydraulické technologie. Upozorňuje na skutečnost, že jejich poruchové chování nelze vždy popsat stejným jednoduchým modelem jako elektroniku. Mechanické součásti se opotřebovávají podle cyklů, zatížení, mazání, znečištění, prostředí a montáže.
ISO 13849 má v této oblasti dlouhodobou praktickou výhodu. Výrobci, výpočtové nástroje a firemní postupy běžně pracují s B10D, MTTFD, kategoriemi, diagnostickým pokrytím a ověřenými bezpečnostními zásadami. IEC 62061 lze použít také, ale pouhá formální přípustnost neelektrického subsystému ještě nezaručuje snadnou dostupnost potřebných dat.
7. Součást se SIL nenutí celou funkci přejít na IEC 62061
Stroj může obsahovat bezpečnostní PLC se SIL 3, měnič s funkcí STO se SIL 3 a světelnou závoru se SILCL 3. Z toho nevyplývá, že celá funkce musí být hodnocena podle IEC 62061.
EN ISO 13849-1 umožňuje použít subsystémy validované podle IEC 62061, IEC 61508, ISO 13849 nebo vhodné výrobkové normy. Funkce vyhodnocená výsledně jako PL proto může obsahovat certifikované subsystémy se SIL, stykač popsaný pomocí B10D a pneumatický ventil posouzený podle zásad ISO 13849.
Certifikát subsystému určuje jeho schopnosti a podmínky použití. Nevybírá za konstruktéra metodu posouzení celé bezpečnostní funkce.
Validovaný blok není nutné rozebírat na vnitřní procesory, paměti a diagnostické obvody. Je však nutné respektovat jeho PFH, reakční časy, dobu použití, požadované zkoušky, zapojení, prostředí a omezení programu. Zařízení se SIL 3 použité mimo podmínky certifikace už neposkytuje původně deklarovanou jistotu.
PL a SIL se potkávají u PFH, nejsou však totožné
Pro režim častého vyžádání nebo nepřetržitého provozu existuje mezi PL a SIL korelace podle rozsahů PFH. Obvykle platí:
- PL b a PL c korelují se SIL 1,
- PL d koreluje se SIL 2,
- PL e koreluje se SIL 3,
- PL a nemá přímou odpovídající úroveň SIL.
Nejde však o prostý převod ani o tvrzení, že PL d a SIL 2 jsou totožné. Obě úrovně se setkávají v odpovídajícím rozsahu PFH, ale používají odlišné požadavky na architekturu, toleranci poruch, systematickou integritu, software a proces návrhu.
PL d není jiné označení pro SIL 2. Obě úrovně korelují v rozsahu PFH, ale cesta k jejich prokázání není stejná.
Stejně zbytečné je převádět certifikované PLC se SIL 3 na údajnou kategorii 4. Kategorie popisuje konkrétní strukturu subsystému a jeho chování při poruše. U subsystému validovaného podle IEC 62061 nebo IEC 61508 nemusí být kategorii možné určit a obvykle to ani není nutné. Projektant má pracovat s deklarovanými vstupy, výstupy, PFH, omezeními a podmínkami použití.
Kompletní funkci omezuje nejslabší subsystém i součet PFH. Pokud má vstupní část pouze PL d, zatímco logika a výstup mají SIL 3, výsledkem může být zcela správně PL d. Certifikáty se neprůměrují a nejdražší zařízení neurčuje úroveň celého stroje.
8. ISO 12100 a bezpečnostní funkce v procesu návrhu
V posouzení rizik se často objeví opatření „použít ochranný kryt s blokováním“. Takový zápis odpovídá směru snižování rizika, ale ještě nic konkrétního nenavrhuje. Neříká, které pohyby se zastaví, jak rychle, co se stane s uloženou energií ani kdy bude dovoleno opětovné spuštění.
ISO 12100 určuje, kde a proč je nutné riziko dále snížit. Jakmile snížení rizika závisí na řídicím systému, musí být definována bezpečnostní funkce. EN ISO 13849-1 pak poskytuje prostředky pro specifikaci, návrh, ověření a validaci částí řídicího systému, které tuto funkci realizují.
Konec posouzení rizik není věta „použít kryt s blokováním“. Právě zde začíná technický návrh bezpečnostní funkce.
SRS má převést výsledky posouzení rizik na jednoznačné požadavky: iniciační událost, reakci stroje, bezpečný stav, PLr, dobu odezvy, provozní režimy, rozhraní, chování při poruše a podmínky opětovného spuštění. Tím se zabrání situaci, kdy specialista bezpečnosti, mechanik a programátor každý jinak chápou slovo „zastavit“.
Vztah mezi ISO 12100 a ISO 13849 byl podrobněji vysvětlen také v technické zprávě ISO/TR 22100-2. Normalizační práce na revizi ISO 12100 ukazují snahu propojit posouzení rizik a specifikaci bezpečnostních funkcí ještě přímočařeji. Aktuální stav připravovaných dokumentů je vždy vhodné ověřit při zahájení projektu; podstatný směr je však zřejmý.
Správný proces tvoří jeden navazující celek:
- identifikace nebezpečí a nebezpečné situace,
- odhad a vyhodnocení rizika,
- volba opatření ke snížení rizika,
- specifikace bezpečnostní funkce,
- určení PLr nebo SIL,
- návrh architektury a výběr subsystémů,
- výpočet a ověření dosažené spolehlivosti,
- validace reakce na skutečném stroji.
Výpočet kategorie, MTTFD, diagnostického pokrytí a PFH může být matematicky správný. Pokud však nebyla přesně definována požadovaná reakce a čas jejího provedení, je to správná odpověď na špatně položenou otázku.
9. Proč u strojů častěji vidíme PL než SIL
Odpověď není, že ISO 13849 je vždy jednodušší nebo že IEC 62061 patří jen složitým elektronickým systémům. Obě normy lze použít pro bezpečnostní funkce strojů a obě mohou zahrnovat různé technologie.
ISO 13849 však dlouhodobě nabízí společný a v praxi dobře zavedený jazyk pro elektronické, elektromechanické, pneumatické, hydraulické i mechanické subsystémy. Dokáže spojit bloky s PFH a SIL, součásti s B10D či MTTFD i prvky, u kterých je nutné vycházet z poruchových režimů, ověřených zásad a konstrukčního posouzení.
Před volbou normy je proto vhodné odpovědět na čtyři otázky:
- Co má bezpečnostní funkce skutečně udělat?
- Kterými technologiemi její řetězec prochází?
- Jaké údaje jsou pro jednotlivé subsystémy opravdu dostupné?
- Která metoda umožní bez umělých mezer prokázat a validovat celý řetězec?
IEC 62061 může být výbornou volbou pro dobře definované subsystémy s kvalitními daty a řízeným procesem funkční bezpečnosti. ISO 13849 bývá přirozenější tam, kde se v jedné funkci setkává bezpečnostní PLC s krytovým spínačem, stykačem, ventilem, pružinou a brzdou. Rozhodnutí má vycházet z charakteru funkce a dostupnosti důkazů, nikoli ze zkratky vytištěné na nejdražší součásti.
Nejdůležitější závěr je jednoduchý: norma neposuzuje působivost katalogu, ale schopnost kompletní funkce dosáhnout a udržet bezpečný stav. To zahrnuje vstup, logiku, výstup, mechanická rozhraní, energii, software, reakci na poruchy i podmínky opětovného spuštění.
Stroj se nezastaví na certifikátu ani na výstupu bezpečnostního PLC. Zastaví se teprve tehdy, když kompletní bezpečnostní funkce skutečně vykoná svůj úkol.