ISO 13849 eller IEC 62061 ser på papiret ud som et valg mellem PL og SIL. I databladene står de da også side om side: Sikkerheds-PLC’en har SIL 3 og PL e, drevet har STO med samme flotte mærkning, og sikkerhedsrelæet følger trop. Men når en komplet sikkerhedsfunktion på en maskine skal specificeres, beregnes og valideres, ender mange projekter stadig med EN ISO 13849-1.
Den nemme forklaring er, at ISO 13849 er lettere. Det er kun en del af sandheden.
En maskine er ikke et elskab. Når en afskærmning åbnes, skal en mekanisk knast måske aktivere en positionskontakt. Signalet behandles af et sikkerhedsrelæ eller en sikkerheds-PLC. Derefter skal en kontaktor afbryde effekten, en ventil skifte stilling, en fjeder flytte en ventilspole, og en bremse holde en lodret akse.
Det er ikke en samling uafhængige sikkerhedsprodukter. Det er én kæde, som skal føre maskinen til en defineret sikker tilstand og holde den dér.
Et certifikat på sikkerheds-PLC’en standser ikke maskinen. Det gør den komplette sikkerhedsfunktion.
ISO 13849 eller IEC 62061: Start med sikkerhedsfunktionen
I mange projekter begynder man med at vælge lysgitter, sikkerheds-PLC, relæ og drev. Først bagefter forsøger man at formulere, hvilken sikkerhedsfunktion komponenterne egentlig skal udføre. Det er den forkerte rækkefølge.
Formuleringen “maskinen standser, når afskærmningen åbnes” er kun en overskrift. Skal drevet udføre sikker momentfrakobling, STO, så motoren ikke længere kan danne moment, men lasten eventuelt løber ud? Skal bevægelsen bremses kontrolleret med SS1, før STO aktiveres? Skal SS2 føre til et overvåget stop, eller skal SOS holde og overvåge en sikker stilstand med drevet aktivt?
Sikkerhedsfunktionen skal definere kravene til styringen. Styringen må ikke få lov til at definere sikkerhedsfunktionen bagefter.
Spørg også, hvilke bevægelser der skal stoppes. Er det tilstrækkeligt at fjerne motormomentet, eller skal pneumatisk og hydraulisk energi afbrydes eller udluftes? Hvad sker der med en lodret akse ved spændingssvigt? Tyngdekraften venter som bekendt ikke høfligt på et signal fra PLC’en.
Reaktionstiden skal ligeledes være konkret. Et meget hurtigt stop kan reducere adgangsrisikoen, men samtidig skabe farlige mekaniske belastninger. Genstarten skal også defineres: Må maskinen starte, når afskærmningen lukkes, efter manuel nulstilling eller først efter en bestemt kontrolsekvens?
“Maskinen standser” er et resultat, ikke en tilstrækkelig specifikation. STO, SS1, SS2 og SOS beskriver forskellige fysiske tilstande med forskellige risici.
Sikkerhedskravspecifikationen kommer før PLr og SIL
EN ISO 13849-1 bruger en sikkerhedskravspecifikation, SRS, som forbindelsesled mellem risikovurderingen efter ISO 12100 og den efterfølgende konstruktion af de sikkerhedsrelaterede dele af styresystemet, SRP/CS.
For hver sikkerhedsfunktion bør SRS’en blandt andet beskrive:
- den udløsende hændelse,
- den krævede reaktion og sikre tilstand,
- den maksimale reaktionstid,
- de driftsarter, hvor funktionen skal være aktiv,
- adfærd ved fejl og energisvigt,
- hvordan den sikre tilstand opretholdes,
- betingelserne for nulstilling og genstart.
Først derefter giver det mening at fastlægge det krævede ydeevneniveau, PLr, eller det krævede sikkerhedsintegritetsniveau, SIL. PLr fortæller ikke, hvad funktionen skal gøre. Det fortæller, hvor pålideligt den skal gøre det.
PLr eller SIL er ikke en erstatning for en præcis sikkerhedsfunktion. Det er pålidelighedskravet til en funktion, der allerede skal være defineret.
Grænsen går ikke ved kanten af elskabet
På et blokdiagram ser alt enkelt ud: indgang, logik og udgang. I virkeligheden begynder sikkerhedskæden ofte før den første elektriske klemme.
En afskærmning sender ikke et signal af sig selv. Den skal fysisk flytte en knast, rulle eller aktuator. Slør i hængslet, slid på rullen, utilstrækkelig tvangsføring eller et forkert aktiveringspunkt kan betyde, at kontakten aldrig skifter, selv om afskærmningen er åben.
Sikkerheds-PLC’en kan i den situation fungere perfekt. Den ser blot et kontaktsignal, som ikke længere svarer til maskinens virkelige tilstand. To indgangskanaler og avanceret diagnostik kan ikke reparere en dårligt konstrueret mekanisk aktivering.
Grænsen for sikkerhedsfunktionen ligger dér, hvor den fysiske hændelse omsættes til en fysisk reaktion – ikke nødvendigvis ved elskabets klemmer.
Det samme gælder i udgangen. Et nul på PLC-udgangen er kun en styringsbeslutning. Kontaktoren skal faktisk åbne, ventilen skal skifte, trykket skal fjernes eller kontrolleres, og bremsen skal opbygge tilstrækkelig kraft.
Det betyder ikke, at hele maskinens mekanik automatisk skal indgå i PL-beregningen. En almindelig cylinder vil typisk ligge uden for selve SRP/CS, mens ventiler, overvågning og en integreret mekanisk lås kan indgå i et sikkerhedsrelateret delsystem. Cylinderens bevægelse skal stadig vurderes under valideringen, fordi den afgør, om den sikre tilstand faktisk opnås.
Den sikre tilstand findes ikke i programmet. Den findes i maskinen – som fjernet energi, kontrolleret bevægelse, fastholdt last eller en anden verificerbar fysisk tilstand.
En sikkerheds-PLC med SIL 3 skaber ikke en SIL 3-funktion
En sikkerheds-PLC med SIL 3, PL e, redundante processorer og omfattende selvdiagnostik er et stærkt delsystem. Den er ikke en komplet sikkerhedsfunktion.
I en typisk kæde registrerer en sensor hændelsen, logikken træffer beslutningen, og udgangsdelen fører maskinen til sikker tilstand. Funktionen kan stadig svigte, hvis kontakten ikke aktiveres, en ledningsfejl ikke opdages, kontaktoren svejser, ventilen sætter sig fast, bremsen ikke holder, eller programmet tillader en forkert genstart.
SIL 3 breder sig ikke gennem installationen som 24 volt. Certifikatet beskriver delsystemets kapacitet under bestemte anvendelsesbetingelser – ikke hele maskinens sikkerhed.
PFH skal vurderes for hele kæden
Når kendte PFH-værdier for delsystemer kombineres serielt, skal de som udgangspunkt lægges sammen. Antag, at indgang, logik og udgang hver har en PFH på 8 × 10−8 pr. time. Hver værdi ligger isoleret set i området for PL e.
Den samlede værdi bliver:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 pr. time
Det ligger i området for PL d, ikke PL e. Flere gode delsystemer giver flere steder, hvor en farlig fejl kan opstå. Derfor opnås PL e ikke ved at samle flest mulige PL e-mærkater. Det opnås gennem en sammenhængende arkitektur med relevante diagnoser, kontrolleret redundans, begrænsning af fællesårsagsfejl og et tilstrækkeligt lavt samlet PFH.
PL e + PL e + PL e giver ikke automatisk PL e. Sikkerhedsniveauet er et resultat af hele strukturen, ikke summen af salgsbrochurernes bedste tal.
Én sikkerhedsfunktion kan spænde over flere teknologier
Her viser EN ISO 13849-1 sin største praktiske styrke. Standarden kan anvendes på sikkerhedsrelaterede dele af styresystemer med elektrisk, elektronisk, hydraulisk, pneumatisk og mekanisk teknologi – og på kombinationer af dem.
En afskærmning kan aktivere en mekanisk knast. Knasten påvirker en elektromekanisk kontakt. Et sikkerhedsrelæ afbryder en pneumatisk ventilspole. En fjeder flytter ventilspolen, trykket udluftes, og en mekanisk bremse fastholder en lodret akse.
Det er én sikkerhedsfunktion, selv om mekanikeren, automatikeren og pneumatikleverandøren hver har tegnet sin egen del.
ISO 13849 kræver ikke, at hver fjeder og skrue får sit eget PL. Vurderingen vedrører delsystemerne og til sidst den komplette funktion. Men hvis en fjeder skal føre en ventil til sikker stilling, må dens relevante fejlmåder vurderes: brud, tab af kraft, forkert montering, blokering eller utilstrækkelig kraft mod ventilens friktion.
Det samme gælder en aktiveringsknast eller bremse. De har måske ingen software og intet imponerende certifikat, men deres geometri, styrke, fastgørelse og slid kan være afgørende for sikkerhedsfunktionen.
Manglende elektronik betyder ikke manglende betydning for sikkerheden. Det afgørende er elementets rolle i fejlscenariet.
En nyttig prøve er at spørge: Kan fejl i elementet betyde, at hændelsen ikke registreres, reaktionen udebliver, eller den sikre tilstand ikke opretholdes? Hvis svaret er ja, skal elementets rolle indgå i sikkerhedsbeviset – også når elementet er et stykke stål.
ISO 13849 arbejder med de data, maskinkomponenter faktisk har
Certificerede sikkerheds-PLC’er og drev leveres ofte med PFH, PL, SIL, reaktionstider og klare integrationsbetingelser. For kontaktorer, positionskontakter, ventiler, låse og bremser ser dokumentationen anderledes ud. Her findes ofte B10D, tilladte cyklustal, belastningsgrænser eller data fra en produktstandard.
B10D er det antal cyklusser, hvor 10 procent af de undersøgte komponenter har fået en farlig fejl. Tallet skal kombineres med det forventede antal årlige operationer for at beregne MTTFD. En ventil, der skifter fem gange pr. skift, har ikke samme levetidsprofil som den samme ventil, hvis den skifter hvert andet sekund.
Et katalogtal er begyndelsen på begrundelsen, ikke afslutningen. Belastning, cyklustal, miljø, vedligeholdelse og den konkrete farlige fejlmåde skal passe til anvendelsen.
ISO 13849 kombinerer kvantitative parametre som MTTFD, diagnostisk dækning, PFH og fællesårsagsfejl med kvalitative krav til arkitektur, systematiske fejl, software, miljøforhold, afprøvede sikkerhedsprincipper og fejludelukkelse.
Det gør metoden anvendelig, når dokumentationen er ujævn. Et valideret delsystem med angivet PFH kan anvendes som en blok. Et elektromekanisk element kan vurderes ud fra B10D og cyklustal. Andre elementer kan kræve prøvning, konstruktive foranstaltninger eller dokumenterede fejludelukkelser.
Fejludelukkelse må ikke reduceres til formuleringen “det går ikke i stykker”. Den skal knyttes til en konkret fejlmåde og begrundes ud fra materiale, dimensionering, belastning, montering, miljø og kendte fysiske forhold.
Fejludelukkelse er ikke fravær af analyse. Det er ofte et af analysens mest krævende og dokumentationstunge resultater.
ISO 13849 eller IEC 62061, når funktionen indeholder pneumatik?
Den gamle tommelfingerregel lød, at IEC 62061 var til elektriske og programmerbare systemer, mens ISO 13849 dækkede pneumatik, hydraulik og mekanik. Den beskrivelse er ikke længere korrekt.
IEC 62061:2021 udvidede anvendelsesområdet, så ikke-elektriske teknologier kan indgå i sikkerhedsrelaterede styresystemer. En pneumatisk ventil, mekanisk kontakt eller hydraulisk udgangsfunktion udelukker derfor ikke en SIL-baseret vurdering.
IEC 62061 er ikke længere begrænset til elektriske teknologier. Men et bredere anvendelsesområde skaber ikke automatisk de pålidelighedsdata, som sikkerhedsbeviset kræver.
Forestil dig kæden nødstop, sikkerheds-PLC, 5/2-ventil, cylinder og farlig bevægelse. Under IEC 62061 skal det pneumatiske udgangsdelsystem modelleres med relevante fejlmåder, arkitektur og diagnostik. Det kan være fastklemning i åben stilling, intern lækage, svækket returfjeder eller for lang omskiftningstid.
Hvis producenten leverer validerede PFH-data og klare anvendelsesgrænser, kan de indgå direkte. Hvis data mangler, må modellen bygges ved hjælp af prøvning, vedligeholdelsesforudsætninger, diagnostiske test, redundans og andre dokumenterede antagelser. Hvis hverken data eller teknisk begrundelse findes, bliver delsystemet begrænsningen for hele funktionen.
IEC TS 63394:2023 understøtter dette arbejde med modeller for mekaniske, pneumatiske og hydrauliske teknologier. Det er relevant, fordi slidende komponenter ikke altid følger de samme enkle fejlmodeller som elektronik. Luftkvalitet, smøring, forurening, cyklustal og montering er ikke fodnoter; de er en del af pålidelighedsmodellen.
Pneumatik udelukker ikke SIL. Den udelukker blot forestillingen om, at man kan beregne elektronikken og erklære hele funktionen færdig.
En komponent med SIL tvinger ikke hele funktionen over i IEC 62061
En maskine kan indeholde et lysgitter med SILCL 3, en sikkerheds-PLC med SIL 3, et drev med STO og en pneumatisk ventil dokumenteret med B10D. Funktionen kan stadig vurderes samlet efter EN ISO 13849-1.
ISO 13849 tillader anvendelse af delsystemer, der er udviklet og valideret efter blandt andet ISO 13849, IEC 62061, IEC 61508 eller relevante produktstandarder. Et certificeret delsystem kan behandles som en valideret blok, hvis det anvendes inden for producentens betingelser.
Det er normalt heller ikke nødvendigt at opfinde en ISO 13849-kategori for en lukket SIL-valideret sikkerheds-PLC. Kategori og SIL er ikke to navne for det samme. Kategorien beskriver en bestemt struktur og dens adfærd ved fejl. For det certificerede delsystem er PFH, reaktionstid, maksimal kapacitet og integrationsbetingelser typisk de relevante oplysninger.
Komponenten med SIL 3 vælger ikke metode for projektet. Den stiller et mere konkret krav: Brug den præcis inden for de betingelser, hvor dens sikkerhedskapacitet er dokumenteret.
PL og SIL mødes ved PFH – men metoderne er ikke identiske
Ved høj aktiveringshyppighed eller kontinuerlig drift korrelerer PL d med SIL 2 og PL e med SIL 3 gennem deres PFH-intervaller. PL b og PL c ligger inden for SIL 1-området, mens PL a ikke har en tilsvarende SIL-klassifikation.
Det betyder ikke, at PL d og SIL 2 er metodisk identiske. ISO 13849 anvender blandt andet kategorier, MTTFD, diagnostisk dækning, fællesårsagsfejl og krav til adfærd ved fejl. IEC 62061 har sin egen livscyklus, arkitekturbegrænsninger, krav til fejltolerance, systematisk integritet og software.
De probabilistiske resultater kan ligge i samme interval, men vejen til dokumentationen er forskellig. Derfor bør PL og SIL ikke omregnes mekanisk uden at kontrollere forudsætninger, begrænsninger og systematiske krav.
Fra ISO 12100 til en valideret sikkerhedsfunktion
En risikovurdering, der ender med teksten “anvend afskærmning med blokering”, har endnu ikke konstrueret en sikkerhedsfunktion. Den har kun identificeret behovet for en risikoreducerende foranstaltning.
Det næste trin er at omsætte behovet til en SRS: Hvad udløser funktionen? Hvilke bevægelser og energier berøres? Hvilken sikker tilstand kræves? Hvor hurtigt skal den nås? Hvad sker der ved fejl, og hvornår må maskinen genstarte?
EN ISO 13849-1:2023 knytter arbejdet med SRP/CS tæt til den iterative risikoreduktion efter ISO 12100. Det igangværende revisionsarbejde omkring ISO 12100 peger ligeledes mod en tydeligere forbindelse mellem risikovurdering og specificering af sikkerhedsfunktioner. Det ændrer ikke ved, at både ISO 13849 og IEC 62061 kan være gyldige metoder. Pointen er, at metodevalget kommer efter funktionsdefinitionen.
Valideringen skal derefter kontrollere mere end beregningen. Den skal vise, at funktionen reagerer på de rigtige hændelser, inden for den krævede tid, i alle relevante driftsarter og under de forudsatte fejl. Den skal også kontrollere, at den sikre tilstand opretholdes, og at genstart ikke kan ske utilsigtet.
Hvorfor PL stadig er mest udbredt i maskiner
ISO 13849 er ikke automatisk bedre end IEC 62061, og IEC 62061 er ikke kun til store eller komplicerede anlæg. Begge standarder kan anvendes på moderne maskinsikkerhed, når deres krav og anvendelsesbetingelser er opfyldt.
ISO 13849 vælges ofte, fordi metoden gennem mange år har givet maskinbyggere en praktisk fælles ramme for elektronik, elektromekanik, pneumatik, hydraulik og mekanik. Den passer til de data, branchen faktisk modtager: PFH og SIL fra nogle delsystemer, PL fra andre, B10D fra slidende komponenter og konstruktive sikkerhedsprincipper for mekaniske løsninger.
IEC 62061 kan være et stærkt valg, især når projektorganisationen arbejder konsekvent med en SIL-baseret sikkerhedslivscyklus, og delsystemerne har veldokumenterede pålidelighedsdata. ISO 13849 er ofte den mere direkte vej, når funktionen bevæger sig gennem mange teknologier og omfatter traditionelle maskinkomponenter.
Før metoden vælges, bør projektgruppen derfor besvare fire spørgsmål:
- Hvad skal sikkerhedsfunktionen fysisk gøre?
- Hvilke teknologier og energiformer indgår i hele kæden?
- Hvilke pålidelighedsdata og fejlmodeller findes faktisk?
- Hvilken metode gør det muligt at verificere og validere hele funktionen uden kunstige huller?
Så bliver valget mellem ISO 13849 og IEC 62061 en ingeniørbeslutning i stedet for en konkurrence mellem forkortelser.
Maskinen standser ikke ved certifikatet eller ved sikkerheds-PLC’ens udgang. Den standser først, når hele sikkerhedsfunktionen har udført sin opgave – og det er den funktion, der skal specificeres, beregnes og valideres.