Komponentide andmelehtedel seisavad PL ja SIL rahulikult kõrvuti. Ohutus-PLC võib olla SIL 3 ja PL e, ohutusrelee samuti ning ajami STO-funktsioon veel mõlemat korraga. Kui aga tuleb valida ISO 13849 või IEC 62061 ning tõendada masina terviklik ohutusfunktsioon, jõuab projekt palju sagedamini standardi EVS-EN ISO 13849-1 juurde.
Lihtne vastus oleks, et ISO 13849 on kergem kasutada. See on mugav, kuid poolik seletus. Masin ei ole elektrikilp ja ohutusfunktsioon ei lõpe PLC väljundklemmil. Kaitse avamine peab liigutama mehaanilist nukki, lüliti peab sündmuse tuvastama, loogika peab reageerima, ventiil või kontaktor peab energia tegelikult katkestama ning pidur peab vajaduse korral telge hoidma.
Need pole eraldiseisvad kaitsevahendid. Need moodustavad ühe ahela, mille ülesanne on viia masin ohutusse seisundisse ja seda seisundit säilitada.
Ohutusrelee sertifikaat ei peata masinat. Masina peatab terviklik ohutusfunktsioon koos sisendi, loogika, väljundi, energia juhtimise ja füüsilise reaktsiooniga.
ISO 13849 või IEC 62061: kõigepealt ohutusfunktsioon, alles siis PL või SIL
Paljudes projektides tehakse järjekord tagurpidi. Esmalt valitakse ohutus-PLC, valguskardin, relee või STO-ga ajam. Seejärel kirjutatakse valitud seadmete ümber ohutusfunktsiooni kirjeldus. Skeem näeb välja veenev: kaks kanalit, diagnostika, SIL 3, PL e. Ometi võib endiselt olla vastamata kõige olulisem küsimus: mida peab masin ohu tekkimisel füüsiliselt tegema?
Väide „kaitse avamisel masin peatub” on pealkiri, mitte spetsifikatsioon. Peab olema selge, kas nõutakse:
- STO-d ehk pöördemomendi ohutut väljalülitamist, mille järel võib liikumine inertsi tõttu jätkuda;
- SS1-te, mille puhul liikumine pidurdatakse kontrollitult ja seejärel rakendub STO;
- SS2-te, mille puhul kontrollitud peatamise järel jääb ajam jälgitavasse ohutusse seisakusse;
- SOS-i ehk ohutu seisaku aktiivset hoidmist ja jälgimist;
- või mitme telje, ventiili, piduri ja abisüsteemi järjestatud reaktsiooni.
„Peatumine” võib tähendada vabajooksu, kontrollitud aeglustamist või aktiivset asendi hoidmist. Need on füüsiliselt erinevad seisundid ja nende riskid on erinevad. Vertikaaltelg ei hooli PLC olekubitist. Kui pöördemoment kaob, jätkab raskusjõud tööd ilma juhtsüsteemi loata.
Seetõttu tuleb enne usaldusväärsuse taseme valimist määrata vähemalt käivitav sündmus, masina nõutav reaktsioon, ohutu seisund, reaktsiooniaeg, aktiivsed töörežiimid, taaskäivitamise tingimused ning käitumine energia kadumise või rikke korral.
PLr ega SIL ei kirjelda, mida ohutusfunktsioon peab tegema. Need kirjeldavad, kui usaldusväärselt peab juba määratletud funktsioon oma ülesande täitma.
EVS-EN ISO 13849-1 seob selle töö ohutusnõuete spetsifikatsiooniga. See pole dokument, mida koostatakse pärast elektriskeemi valmimist, vaid projekteerimise lähtepunkt. Riskihindamise tulemus tuleb muuta kontrollitavateks tehnilisteks nõueteks: mis käivitab funktsiooni, milline reaktsioon peab järgnema, kui kiiresti tuleb ohutu seisund saavutada ja kuidas seda säilitatakse.
Ohutu seisund ei asu programmis. See asub masinas: liikumine on kontrollitud, energia ohjatud ning ohtlik taaskäivitumine välistatud.
Alles pärast seda on mõistlik määrata PLr või nõutav SIL, valida arhitektuur ning otsustada, kas sobivam tõendamismeetod on ISO 13849 või IEC 62061.
Ohutusfunktsiooni piir ei jookse mööda elektrikilbi serva
Plokkskeemil on kõik puhas: sisend, loogika ja väljund. Päris masinas hägustub see piir kiiresti. Kaitse ei „saada signaali”. Kõigepealt peab midagi füüsiliselt liikuma: nukk, rullik, tapp või lukustusmehhanism. Väike reguleerimisviga, kulunud hing, ebapiisav sundavamine või halvasti valitud rakenduspunkt võib jätta ohtliku sündmuse tuvastamata.
PLC võib sellises olukorras töötada täiesti õigesti. Ta näeb lihtsalt kontaktide olekut, mis ei vasta masina tegelikule seisundile. Kahekanalilisus ja kanalite võrdlus ei paranda valesti projekteeritud lülitusmehaanikat.
ISO 13849 käsitluses võib ohutusega seotud juhtimissüsteemi osa alata juba kohast, kus füüsiline sündmus muudetakse signaaliks. See võib hõlmata lüliti nukki ja rullikut, mitte ainult elektrikilpi sisenevat juhet.
Ahela lõpus kehtib sama loogika. PLC väljundi nullimine ei peata masinat. STO ei ole pidur. Ventiili pooli pinge katkestamine ei tõenda, et rõhk kadus. Kontaktor peab jõuahela tegelikult lahutama, ventiil peab asendit muutma, vedru peab suutma siibrit liigutada ja pidur peab arendama nõutud jõu.
Ohutusfunktsiooni piir kulgeb sealt, kus füüsiline sündmus muudetakse ohutussignaaliks, kuni kohani, kus masinas tekib ja säilib nõutud füüsiline tulemus.
See ei tähenda, et kogu masina mehaanika tuleb PL-arvutusse tõmmata. Tavaline pneumosilinder võib jääda ohutusega seotud juhtimissüsteemist väljapoole, kuigi selle käitumist tuleb ohutu seisundi valideerimisel arvestada. Kui silindrisse on aga integreeritud lukustus või muu ohutuse alamfunktsioon, ei saa seda osa lihtsalt analüüsist välja jätta.
Kasulik kontrollküsimus on lihtne: kas selle elemendi rike võib põhjustada sündmuse tuvastamata jäämise, nõutud reaktsiooni puudumise või ohutu seisundi kaotamise? Kui vastus on jah, kuulub element ohutuse tõendusse sõltumata sellest, kas see on elektroonikaplokk või terasdetail.
SIL 3 ohutus-PLC ei loo automaatselt SIL 3 funktsiooni
Ohutus-PLC andmeleht jätab mulje, et tegemist on kogu süsteemi tähtsaima osaga. Kaks protsessorit, enesediagnostika, PL e, SIL 3 ja mahukas sertifikaat mõjuvad veenvalt. Sellest sünnib ohtlik mõtteline otsetee: kui kontroller on SIL 3, peab ka funktsioon olema SIL 3.
Ei pea. Deklareeritud tase näitab, milleks alamsüsteem on võimeline ettenähtud kasutuse, konfiguratsiooni ja integreerimise korral. See võimekus ei kandu automaatselt lülitile, juhtmestikule, kontaktorile, ventiilile ega integraatori kirjutatud programmile.
SIL 3 ei levi paigaldises nagu 24-voldine toitepinge. Sertifikaat määrab alamsüsteemi võimekuse, mitte kogu masina tulemuse.
Tüüpilises kaitseukse funktsioonis on ohutus-PLC keskmine lüli. Andur tuvastab sündmuse, loogika langetab otsuse ning väljundelement peab viima masina ohutusse seisundisse. Ahel puruneb kõige nõrgemas lülis, mitte tingimata selles, millel on kõige õhem dokumentatsioon.
PLC võib signaali õigesti vastu võtta ja väljundid välja lülitada. Funktsioon võib ikkagi nurjuda, kui kontaktor jääb kinni, ventiil ei lülitu, pidur ei hoia või valesti seadistatud taaskäivitus lubab liikumise kohe uuesti.
Sama kehtib PL-i puhul. PL e tasemeid ei liideta. Kui kolme järjestikku ühendatud alamsüsteemi PFHD on igaühel 8 × 10−8 tunnis, on kogutulemus:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 tunnis.
Iga alamsüsteem võib eraldi mahtuda PL e vahemikku, kuid tervikfunktsiooni summa jääb juba PL d vahemikku. Rohkem komponente tähendab rohkem kohti, kus võib tekkida ohtlik rike.
PL e + PL e + PL e ei pruugi anda PL e. Tasemeid ei liideta; liita tuleb alamsüsteemide ohtlike rikete sagedused ja hinnata tervikarhitektuuri.
Kõrge PL ei sünni kõige kallimate komponentide kogumisest. Selle saavutamiseks tuleb vähendada kriitilisi üksikrikkekohti, kasutada põhjendatud diagnostikat, rakendada otstarbekat redundantsi, juhtida ühispõhjusega rikete riski ning valideerida süsteemi käitumine tegelike defektide korral.
Üks ohutusfunktsioon läbib sageli mitut tehnoloogiat
Masina ohutusfunktsioon ei järgi ettevõtte osakondade piire. Kaitse avamine võib liigutada mehaanilist nukki. Nukk rakendab elektromehaanilise positsioonlüliti. Signaal läheb ohutusreleesse, mis katkestab pneumoventiili pooli toite. Vedru liigutab siibrit, rõhk vabastatakse ja silindri liikumine peab peatuma. Vertikaaltelje korral võib asendi hoidmiseks olla vaja ka mehaanilist pidurit.
See on üks funktsioon, kuigi selles osalevad mehaanika, elekter, elektroonika ja pneumaatika. Kui iga eriala lõpetab analüüsi oma joonise serval, jääb tervik kontrollimata.
Masin ei tea, milline osakond projekteeris nuki, PLC, ventiili või piduri. Kui üks neist ei täida oma rolli, ei jõua masin ohutusse seisundisse.
Just siin avaldub ISO 13849 praktiline tugevus. Standard käsitleb ohutusega seotud juhtimissüsteemi osi sõltumata kasutatavast tehnoloogiast ja energia liigist. Ühes funktsioonis saab siduda elektrilised, elektroonilised, hüdraulilised, pneumaatilised ja mehaanilised alamsüsteemid.
See ei tähenda, et igale vedrule ja kruvile antakse oma PL. Hinnatakse alamsüsteeme ning lõpuks tervikfunktsiooni. Kui vedru ülesanne on viia ventiil energiakao järel ohutusse asendisse, tuleb siiski käsitleda vedru purunemist, jõu vähenemist, valet paigaldust, saastumisest tingitud kinnikiilumist ja ebapiisavat jõuvaru.
Sama kehtib lülitusnuki kohta. Sellel pole tarkvara ega SIL-sertifikaati, kuid selle geomeetriast, kinnitusest ja kulumiskindlusest võib sõltuda, kas kaitse avamine üldse tuvastatakse.
Tehnoloogia ei määra elemendi tähtsust. Määrav on tema roll rikkestsenaariumis ja mõju ohutusfunktsiooni õnnestumisele.
Hea süsteemipiir ei ole liiga kitsas ega põhjendamatult lai. Analüüsi tuleb kaasata elemendid, mis algatavad ohutussignaali, töötlevad seda, juhivad energiat, täidavad ohutuse alamfunktsiooni või säilitavad ohutut seisundit.
ISO 13849 kasutab andmeid, mida masinatööstuses tegelikult leidub
Teoorias on PL-i ja SIL-i valik metoodiline otsus. Praktikas otsustab sageli andmete olemasolu. Ohutus-PLC ja STO-funktsiooniga ajam saabuvad tavaliselt koos PFHD, PL-i, SIL-i, reaktsiooniaegade, piirangute ja integreerimisjuhistega. Tavalise kontaktori, ventiili, positsioonlüliti või piduri dokumentatsioon võib olla palju tagasihoidlikum.
Kuluvate elektromehaaniliste, pneumaatiliste ja mehaaniliste komponentide puhul esitatakse sageli B10D. See on tsüklite arv, mille järel on kümme protsenti katsetatud komponentidest saanud ohtliku rikke. B10D üksi ei näita rakenduse töökindlust. Vaja on ka tegelikku lülitussagedust.
Ventiil, mida rakendatakse viis korda vahetuses, ja sama tootenumbriga ventiil, mida lülitatakse iga kahe sekundi järel, ei ole konkreetses masinas sama töökindlad. ISO 13849 seob B10D keskmise aastase töötsüklite arvuga ning võimaldab selle põhjal hinnata MTTFD-d.
ISO 13849 pole praktiline seetõttu, et nõuaks vähem tõendeid. See on praktiline, sest võimaldab kasutada masinate juures tegelikult saada olevaid andmeid: PFHD, B10D, MTTFD, tsüklite arvu, diagnostikat ja tõendatud ohutuspõhimõtteid.
Standardi meetod ühendab kvantitatiivsed ja kvalitatiivsed nõuded. Arvesse lähevad muu hulgas:
- kategooria ja alamsüsteemi arhitektuur;
- MTTFD ehk keskmine aeg ohtliku rikkeni;
- diagnostikakate DC;
- ühispõhjusega rikked CCF;
- süstemaatilised vead ja tarkvara;
- keskkonna- ning kasutustingimused;
- tõendatud komponendid ja ohutuspõhimõtted;
- konkreetsete rikete põhjendatud välistamine.
Vaikeväärtused ja lihtsustatud meetodid ei ole luba füüsikat loominguliselt tõlgendada. Kui standardi tabel annab teatud komponendigrupile tüüpilise väärtuse, tohib seda kasutada ainult nõutud tootestandardite, koormuste, keskkonnatingimuste ja tootja juhiste täitmisel.
Eriti ettevaatlik tuleb olla rikke välistamisega. Väide „see detail ei purune” pole tehniline põhjendus. Tuleb määrata konkreetne rikkeliik ning näidata materjali, mõõtmete, koormuse, liikumissuuna, keskkonna ja hoolduse põhjal, miks selle esinemine on piisavalt ebatõenäoline.
Rikke välistamine ei tähenda analüüsi puudumist. See on üks analüüsi nõudlikumaid tulemusi ja vajab kontrollitavat tehnilist põhjendust.
Niisugune käsitlus sobib masinatele, sest kõiki riske ei saa usutavalt lahendada ühe tõenäosusarvuga. Nuki vale kinnitus, ventiili saastumine või lukustuse ettekavatsetud möödaviimine vajavad lisaks arvutusele konstruktsioonilisi meetmeid, kasutusreegleid, katseid ja valideerimist.
IEC 62061 ei piirdu enam ainult elektrilise tehnoloogiaga
Aastaid õpetati lihtsat jaotust: ISO 13849 sobib kogu masinale, IEC 62061 aga elektrilistele, elektroonilistele ja programmeeritavatele ohutussüsteemidele. Vanemate väljaannete kontekstis oli sellel jaotusel tugev alus. Pneumaatilised, hüdraulilised ja mehaanilised osad jäid IEC 62061 otsesest käsitlusest suuresti välja.
2021. aasta väljaanne laiendas standardi IEC 62061 käsitlusala. Nüüd ei ole korrektne väita, et pneumoventiil või mehaaniline element välistab SIL-meetodi kasutamise. Mitteelektrilised alamsüsteemid võivad kuuluda sama ohutusfunktsiooni mudelisse.
IEC 62061:2021 võib hõlmata mitteelektrilisi tehnoloogiaid. Pneumaatika või mehaanika olemasolu ei välista enam SIL-i kasutamist.
Muudatus standardi käsitlusalas ei tekita siiski puuduvaid andmeid. Vedru, tihend, ventiilisiiber või mehaaniline lukustus ei saa automaatselt oma SIL-i. SIL on ohutusfunktsiooni nõue; alamsüsteemil saab olla näiteks piiratud SIL-võimekus või SILCL. Alamsüsteemi üksikosad jäävad selle võimekuse tõenduse sisse.
Võtame ahela: avariiseiskamise seade, ohutus-PLC, 5/2 ventiil, silinder ja ohtlik liikumine. IEC 62061 järgi tuleb käsitleda ventiili koos vedru, pilootjuhtimise, võimaliku redundantsi ja diagnostikaga väljundalamsüsteemina. Seejärel tuleb hinnata, kas selle rikked võivad ohutusfunktsiooni kaotada ja milline on nende panus PFHD-sse.
Kui tootja annab valideeritud PFHD ja kasutuspiirangud, saab neid kasutada. Kui valmisandmeid pole, tuleb mudel üles ehitada komponentide andmetest, katsetest, diagnostikast, hoolduseeldustest ja arhitektuurist. Kui puuduvad nii andmed kui ka usutav põhjendus, piirab see alamsüsteem kogu funktsiooni tõendatavust.
Mehaaniliste ja pneumaatiliste osade modelleerimine on keeruline, sest nende käitumine sõltub kulumisest, tsüklitest, määrimisest, saastest, õhu kvaliteedist ja paigaldusest. Elektroonikas kasutatav konstantse rikkesageduse mudel ei kirjelda alati kuluvat komponenti piisavalt hästi. Seda erinevust käsitleb täiendavalt IEC TS 63394.
Pneumaatika ei välista enam SIL-i. Küll aga välistab see mugava illusiooni, et piisab elektroonika arvutamisest ja ülejäänud masin „kuidagi töötab”.
Seega ei ole ISO 13849 ainus standard, millega saab mitut tehnoloogiat hõlmavat funktsiooni hinnata. Selle eelis on pigem pikaajaline tööstuspraktika: komponentide andmekogud, B10D-põhised meetodid, tüüparhitektuurid, valideerimisprotseduurid ja tööriistad on masinatööstuses juba laialt kasutusel.
SIL-sertifikaadiga komponent ei sunni tervikfunktsiooni SIL-meetodile
Kui ohutus-PLC, valguskardin ja ajam on kõik SIL 3 võimekusega, tekib sageli järeldus, et kogu funktsioon tuleb projekteerida IEC 62061 järgi. Sellist kohustust ei ole. Komponendi või alamsüsteemi sertifikaat määrab selle kasutusvõimekuse, mitte tervikfunktsiooni hindamismeetodi.
ISO 13849 võimaldab kasutada alamsüsteeme, mis on varem valideeritud ISO 13849, IEC 62061, IEC 61508 või sobiva tootestandardi järgi. Ühes PL-ina hinnatavas funktsioonis võivad seega olla SILCL 3 valguskardin, SIL 3 ohutus-PLC, SIL 3 STO, B10D-ga kontaktor ja ISO 13849 meetodil hinnatud pneumoventiil.
SIL-komponent ei vali projektile standardit. Ta annab valideeritud alamsüsteemi koos konkreetsete piirangute, reaktsiooniaegade ja töökindlusandmetega.
Valideeritud alamsüsteemi ei pea integraator protsessoriteks, mäludeks ja sisemisteks diagnostikaahelateks lahti võtma. Tavaliselt pole vaja sellele ka väljamõeldud kategooriat omistada. IEC 62061 või IEC 61508 järgi valideeritud seadme sisearhitektuur ei pea vastama ISO 13849 kategooriatele ning kategooria määramine ei pruugi olla võimalik ega vajalik.
Küll aga tuleb kontrollida sertifikaadi tingimusi. SIL 3 võimekus võib kehtida ainult määratud ühendusskeemi, missiooniaja, perioodiliste testide, keskkonnatingimuste, diagnostikasageduse ja tarkvarakonfiguratsiooni korral.
STO võib olla SIL 3, kuid sellest pole abi, kui riskihindamine nõuab kontrollitud pidurdamist SS1 abil. Valguskardin võib sündmuse veatult tuvastada, kuid liiga väikese ohutuskauguse korral jõuab inimene ohualasse enne masina seiskumist. Ohutus-PLC võib töötada korrektselt, kuid tavalisest operaatoripaneeli bitist tehtud möödaviik võib tervikfunktsiooni tühistada.
PL ja SIL kohtuvad PFHD vahemike juures. Sagedase rakendumise või pideva töö korral korreleeruvad üldiselt PL b ja PL c SIL 1-ga, PL d SIL 2-ga ning PL e SIL 3-ga. PL a-l SIL-skaalal vastet ei ole.
PL d ei ole lihtsalt teine nimi SIL 2-le. Need tasemed korreleeruvad PFHD vahemiku kaudu, kuid nende arhitektuuri-, protsessi-, tarkvara- ja valideerimisnõuded pole identsed.
Kategooria pole SIL-i tõlge. ISO 13849 hindab kategooriat, MTTFD-d, diagnostikakatet, CCF-i ja käitumist rikke korral. IEC 62061 kasutab oma arhitektuuripiiranguid, rikketaluvuse ja süstemaatilise tervikluse nõudeid. Tõenäosuslik tulemus võib jääda samasse vahemikku, kuid tee selle tõendamiseni on erinev.
ISO 12100 ja ohutusfunktsiooni koht projekteerimisprotsessis
Riskihindamise tabelisse kirjutatud meede „kasutada blokeeringuga kaitset” ei ole veel ohutusfunktsioon. See ei ütle, mida süsteem tuvastab, millised liikumised peatatakse, kui kiiresti reaktsioon toimub, mis saab pneumaatilisest või potentsiaalsest energiast ega millal on taaskäivitamine lubatud.
ISO 12100 määrab, kus ja miks on riski vaja vähendada. Kui riskivähendus sõltub juhtsüsteemi toimimisest, tuleb tulemus muuta ohutusfunktsiooni tehniliseks spetsifikatsiooniks. Siin ühendab ohutusnõuete spetsifikatsioon riskihindamise ja juhtimissüsteemi projekteerimise.
Praktiline töövoog peaks olema järgmine:
- määrata oht ja ohuolukord;
- valida riskivähendusmeede;
- kirjeldada käivitav sündmus ja masina nõutav reaktsioon;
- määrata ohutu seisund ning selle saavutamise ja säilitamise aeg;
- määrata PLr või nõutav SIL;
- valida alamsüsteemid ja arhitektuur;
- teha arvutuslik kontroll;
- valideerida funktsioon tegelikul masinal, sealhulgas rikketingimustes.
Riskihindamine ei lõpe märkusega „paigaldada blokeeringuga kaitse”. Täpselt selles kohas algab ohutusfunktsiooni projekteerimine.
ISO 13849-1 seob selle protsessi väga otseselt ISO 12100 iteratiivse riskivähendusega. Ka ISO 12100 järgmise väljaande arendustööd on rõhutanud vajadust muuta seos riskihindamise ja ohutusega seotud juhtimissüsteemide projekteerimise vahel selgemaks. See ei kõrvalda IEC 62061 kasutamist. See näitab, et ohutusfunktsiooni ei saa jätta automaatiku hilisemaks tõlgenduseks.
Kui mehaanik, riskihindaja ja automaatik mõistavad sõna „peatumine” erinevalt, pole probleem standardi valikus. Probleem on puudulikus spetsifikatsioonis. Matemaatiliselt korrektne PL-arvutus ei paranda valesti määratletud reaktsiooni.
ISO 13849 või IEC 62061: praktiline valik masinaprojektis
Lõplik vastus ei ole „ISO 13849 on lihtne” ega „IEC 62061 sobib ainult keerukale elektroonikale”. Mõlemad standardid võivad olla õige valik. Otsus peab lähtuma funktsioonist, tehnoloogiatest, olemasolevatest andmetest ja organisatsiooni pädevusest.
Enne valikut küsige neli küsimust:
- Mida peab ohutusfunktsioon päriselt tegema? Kas nõutakse STO-d, kontrollitud peatamist, rõhu vabastamist, raskusjõu ohjamist või mitme süsteemi järjestatud reaktsiooni?
- Milliseid tehnoloogiaid funktsioon läbib? Kas ahel sisaldab mehaanilisi lülituselemente, pneumaatikat, hüdraulikat, pidureid või lukustusi?
- Millised andmed on tegelikult olemas? Kas kasutada saab PFHD-d, SILCL-i, PL-i, B10D-d, MTTFD-d, katseandmeid või tootestandardi väärtusi?
- Millise meetodiga saab kogu ahela katkestusteta tõendada ja valideerida? Valik peab hõlmama nii sisendit, loogikat kui ka füüsilist väljundreaktsiooni.
ISO 13849 on masinates sagedamini nähtav, sest see on aastaid pakkunud ühtset ja praktilist mudelit eri tehnoloogiate ühendamiseks. See sobib hästi olukorda, kus ohutus-PLC ees on mehaaniline nukk ning pärast PLC-d ventiil, vedru ja pidur. Samuti võimaldab see kasutada sertifitseeritud SIL-alamsüsteeme ilma, et kogu projekt peaks automaatselt üle minema IEC 62061 metoodikale.
IEC 62061 on tugev valik siis, kui funktsioon on hästi alamsüsteemideks jaotatud, vajalikud töökindlusandmed on olemas ning projektimeeskond valdab selle arhitektuuri-, tarkvara- ja süstemaatilise tervikluse nõudeid. Mitteelektriline tehnoloogia ei ole enam takistus, kuid selle usaldusväärsus tuleb endiselt usutavalt modelleerida.
Ükskõik kumb standard valitakse, jääb põhireegel samaks: projekteerida ja valideerida tuleb ohutusfunktsioon, mitte sertifikaatide loetelu.
Masin ei peatu sertifikaadil ega ohutus-PLC väljundil. Ta peatub alles siis, kui kogu ohutusfunktsioon saavutab ja säilitab nõutud füüsilise ohutu seisundi.