ISO 13849 vai IEC 62061 näyttää ensi silmäyksellä valinnalta PL- ja SIL-tasojen välillä. Tuoteluetteloissa molemmat esiintyvät sulassa sovussa: turva-PLC voi olla SIL 3- ja PL e -kelpoinen, samoin turvarele, valoverho tai STO-toiminnolla varustettu taajuusmuuttaja. Kun kokonainen koneen turvallisuustoiminto pitää määritellä, laskea ja validoida, Suomessa päädytään silti usein standardiin SFS-EN ISO 13849-1.
Helppo selitys on, että ISO 13849 olisi yksinkertaisempi. Se on vain osa totuutta. Todellinen etu näkyy siinä, että kone ei ole pelkkä sähkökaappi. Suojuksen avaaminen liikuttaa mekaanista nokkaa, rajakytkin tuottaa signaalin, logiikka käsittelee sen ja venttiilin, jarrun tai kontaktorin on lopulta hallittava todellinen energia. Kaikkien lenkkien on toimittava yhtenä ketjuna.
Turvareleen sertifikaatti ei pysäytä konetta. Koneen pysäyttää oikein määritelty, toteutettu ja validoitu turvallisuustoiminto.
Jos venttiili juuttuu, nokka ei paina rajakytkintä, palautusjousi katkeaa tai jarru ei pidä pystyakselia, toiminto voi epäonnistua, vaikka keskellä ketjua oleva turva-PLC olisi sertifioitu SIL 3 -tasolle. Siksi menetelmä on valittava todellisen toiminnon, käytettävissä olevien tietojen ja teknologioiden perusteella — ei sen mukaan, mikä lyhenne näyttää komeimmalta laiteluettelossa.
ISO 13849 vai IEC 62061? Aloita turvallisuustoiminnosta, älä tasosta
Monessa hankkeessa järjestys kääntyy nurin. Ensin valitaan turva-PLC, turvarele, valoverho tai STO-toiminnolla varustettu käyttö. Sen jälkeen valmiiden laitteiden ympärille kirjoitetaan turvallisuustoiminto. Kaaviossa on kaksi kanavaa, diagnostiikka, PL e ja SIL 3, mutta edelleen voi olla epäselvää, mitä koneen pitää vaaratilanteessa fyysisesti tehdä.
Ilmaus “suojuksen avaaminen pysäyttää koneen” ei vielä ole turvallisuusvaatimusmäärittely. Se on otsikko. Pysäytys voi tarkoittaa esimerkiksi:
- STO-toimintoa, jossa momentin tuotto estetään turvallisesti mutta liike voi jatkua vapaalla hidastumisella;
- SS1-toimintoa, jossa liike hidastetaan hallitusti ennen STO-tilaan siirtymistä;
- SS2-toimintoa, jossa hallittua pysäytystä seuraa valvottu turvallinen pysähdystila;
- SOS-toimintoa, jossa käyttö pitää akselin valvotussa turvallisessa pysähdyksessä;
- useiden akseleiden, venttiilien, jarrujen ja apujärjestelmien määrättyä pysäytysjärjestystä.
Erot eivät ole sanastoa varten. STO ei ole jarru. Momentin poisto ei takaa, että suuren inertian liike loppuu ajoissa. Pneumaattisen venttiilin kelan jännitteettömyys ei takaa, että paine on poistunut. Pystyakselin käytöltä poistettu momentti ei takaa, että akseli jää paikalleen. Painovoima ei tunnetusti odota PLC:n lupaa.
Turvallisuusvaatimusmäärittelyssä eli SRS:ssä on kuvattava vähintään toiminnon käynnistävä tapahtuma, vaadittu reaktio, tavoiteltu turvallinen tila, vasteaika, aktiiviset käyttötavat, energioiden käyttäytyminen, vian vaikutus, turvallisen tilan ylläpito ja uudelleenkäynnistyksen ehdot. Lisäksi on ratkaistava, mitä tapahtuu sähkön, paineen tai muun käyttöenergian kadotessa ja palatessa.
PLr tai vaadittu SIL ei kerro, mitä toiminnon pitää tehdä. Se kertoo, kuinka luotettavasti määritelty toiminto on toteutettava.
Vasta tämän jälkeen määritetään riskin arvioinnin perusteella vaadittu suoritustaso PLr tai turvallisuuden eheystaso SIL. Jos reaktioksi valitaan väärä pysäytystoiminto, korkea PL tai SIL ei korjaa perusvirhettä. Erittäin luotettavasti toteutettu väärä reaktio on edelleen väärä reaktio.
Suojuksen tapauksessa on esimerkiksi päätettävä, sallitaanko vapaa hidastuminen, tarvitaanko hallittu jarrutus, pitääkö pystyakseli lukita mekaanisesti ja kuinka kauan vaarallisen energian poistuminen kestää. Samalla on tarkistettava turvaetäisyys ja kokonaispysähtymisaika. Jos ihminen ehtii vaarakohtaan ennen liikkeen loppumista, oikea bittitila ohjelmassa ei auta.
Energia ja liikedynamiikka aiheuttavat vamman, eivät PLC:n tilabitit. Turvallisuustoiminto on määriteltävä koneen fyysisen käyttäytymisen kautta.
Turvallisuustoiminnon raja ei kulje sähkökaapin reunassa
Lohkokaaviossa ketju näyttää siistiltä: tulo, logiikka ja lähtö. Todellisessa koneessa signaali ei kuitenkaan synny itsestään. Suojuksen on ensin liikutettava nokkaa, rullaa, karaa tai tunnistettavaa kohdetta. Kulunut sarana, löystynyt kiinnitys, väärä toimintapiste tai liian pieni pakkotoiminen liike voi estää rajakytkimen vaihtumisen, vaikka sähköiset kanavat ja turvalogiikka toimisivat moitteettomasti.
Turva-PLC näkee koskettimien tilan. Se ei näe suojuksen todellista asentoa, ellei mekaniikka muunna asentoa luotettavasti signaaliksi. Kahden kanavan vertailu ei korjaa yhteistä mekaanista vikaa, joka estää molempien kytkinten käytön.
SFS-EN ISO 13849-1:n mukaisen turvallisuuteen liittyvän ohjausjärjestelmän osan tarkastelu voi alkaa jo signaalin syntypaikasta. Mekaaninen nokka tai rajakytkimen rulla voi siis kuulua turvallisuusketjun osoitukseen, jos sen vika estää vaarallisen tapahtuman havaitsemisen.
Sama pätee ketjun loppuun. PLC-lähdön vaihtuminen nollaksi on vasta ohjauspäätös. Kontaktorin on avattava tehonsyöttö, venttiilin vaihdettava asentoa, jarrun muodostettava riittävä voima ja jäljellä olevan energian poistuttava, hajaannuttava tai siirryttävä hallitusti toisen rakenteen kannettavaksi.
Kaikkea koneen mekaniikkaa ei silti pidä väkisin vetää PL-laskentaan. Tavallinen pneumaattinen sylinteri jää yleensä turvallisuuteen liittyvän ohjausjärjestelmän ulkopuolelle, vaikka sen liikkeen pysähtyminen on validoitava. Jos sylinterikokonaisuus sisältää turvallista tilaa ylläpitävän lukon tai muun turvallisuuden alatoiminnon, tilanne on toinen. Ratkaiseva kysymys on elementin rooli, ei sen materiaali tai organisaation osasto.
Käytännöllinen rajatesti on tämä: voiko elementin vika estää tapahtuman havaitsemisen, vaaditun reaktion toteutumisen tai turvallisen tilan ylläpidon? Jos voi, elementti kuuluu turvallisuusperusteluun tavalla tai toisella.
Turvallisuustoiminnon raja kulkee siellä, missä fyysinen tapahtuma muuttuu tiedoksi ja tieto jälleen fyysiseksi vaikutukseksi.
SIL 3 -turva-PLC ei tee toiminnosta SIL 3 -tasoista
Turva-PLC näyttää helposti järjestelmän tärkeimmältä osalta. Siinä on kaksi prosessoria, itsediagnostiikka, turvallisuussertifikaatti ja pitkä käyttöohje. Tästä syntyy vaarallinen oikopolku: koska ohjain on SIL 3 -kelpoinen, myös toiminnon ajatellaan olevan SIL 3 -tasoinen.
Ei ole. Sertifikaatti kuvaa osajärjestelmän kykyä oikein käytettynä, konfiguroituna ja integroituna. Se ei siirry automaattisesti rajakytkimeen, johdotukseen, sovellusohjelmaan, kontaktoreihin, venttiileihin tai jarruihin. SIL 3 ei leviä asennuksessa samalla tavalla kuin 24 voltin käyttöjännite.
Tyypillisessä toiminnossa anturi havaitsee tapahtuman, logiikka tekee päätöksen ja lähtöelementti saattaa koneen turvalliseen tilaan. Ketju pettää heikoimmasta tai väärin integroidusta kohdasta. PLC voi käsitellä tulon ja poistaa lähdöt täysin oikein, mutta venttiili voi juuttua, kontaktori hitsautua tai uudelleenkäynnistyslogiikka sallia liikkeen liian aikaisin.
Sertifikaatti osoittaa laitteen mahdollisuudet. Koneen valmistajan tai integraattorin on osoitettava koko turvallisuustoiminnon suorituskyky.
Myös PFH-arvot on tarkasteltava koko ketjulle. Oletetaan, että toiminnossa on kolme sarjaan kytkettyä osajärjestelmää: tulo, logiikka ja lähtö. Jokaisen PFH on 8 × 10−8 tunnissa, joten kukin mahtuu erikseen PL e -alueelle. Kokonaisarvo on kuitenkin:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 tunnissa.
Tulos on PL d -alueella. Kolme PL e -kelpoista osajärjestelmää eivät siis automaattisesti muodosta PL e -toimintoa. Lisäosat tuovat lisää paikkoja vaaralliselle vikaantumiselle.
Korkea taso saavutetaan rakenteella, ei keräämällä sertifikaatteja. Käytännössä tarvitaan turhien sarjariippuvuuksien vähentämistä, tarkoituksenmukaista diagnostiikkaa, perusteltua redundanssia, yhteisvikaantumisten hallintaa sekä systemaattisten virheiden ehkäisyä laitteistossa ja ohjelmistossa.
PL e + PL e + PL e ei välttämättä ole PL e. Suoritustaso ei ole osien laatupisteiden summa, vaan koko ketjun vaarallisen vikaantumisen tulos.
ISO 13849 vai IEC 62061 moniteknisessä koneessa
ISO 13849:n käytännön vahvuus paljastuu, kun turvallisuustoiminto poistuu tuoteluettelosta ja asennetaan oikeaan koneeseen. Suojuksen avaaminen voi liikuttaa mekaanista nokkaa. Nokka käyttää sähkömekaanista rajakytkintä. Signaali menee turvareleelle, joka poistaa pneumaattisen venttiilin kelan jännitteen. Jousi palauttaa luistin, paine katkeaa tai purkautuu ja toimilaite pysähtyy. Pystyakselilla mukaan voidaan tarvita mekaaninen jarru.
Tämä on yksi turvallisuustoiminto, vaikka siinä on mekaniikkaa, sähkötekniikkaa, elektroniikkaa ja pneumatiikkaa. Kone ei tiedä, että nokan suunnitteli mekaniikkaosasto, logiikan automaatio-osasto ja venttiilin toinen toimittaja. Jos yksikin osa epäonnistuu, turvallinen tila voi jäädä saavuttamatta.
Kone ei tunne organisaatiokaaviota. Turvallisuustoiminto ei pääty siihen kohtaan, jossa yhden suunnitteluryhmän vastuualue vaihtuu toiseksi.
SFS-EN ISO 13849-1 soveltuu turvallisuuteen liittyviin ohjausjärjestelmän osiin niiden teknologiasta ja energiasta riippumatta. Samaa toimintoa voidaan käsitellä osajärjestelminä, joiden toteutustapa on sähköinen, elektroninen, hydraulinen, pneumaattinen tai mekaaninen.
Tämä ei tarkoita, että jokaiselle jouselle tai ruuville annetaan oma PL. Arvioinnin kohteena on osajärjestelmä ja lopulta kokonainen turvallisuustoiminto. Jos palautusjousen tehtävä on viedä venttiili turvalliseen asentoon energian kadotessa, on kuitenkin tarkasteltava jousen katkeamista, voiman heikkenemistä, virheellistä asennusta, likaantumisen aiheuttamaa jumittumista ja riittämätöntä voimaa.
Sama logiikka koskee mekaanista jarrua. Käyttö voi toteuttaa STO-toiminnon virheettömästi, mutta pystyakseli voi silti pudota, jos jarru ei kehitä tarvittavaa pitovoimaa. Elektroniikka on silloin tehnyt kaiken oikein ja turvallisuustoiminto silti epäonnistunut.
Hyvä osajärjestelmäjako seuraa toiminnon kulkua:
- tapahtuman havaitseminen;
- turvallisuuteen liittyvä logiikka;
- energian ohjaaminen;
- turvallisen tilan saavuttaminen ja ylläpito.
Kaikkia riskiä pienentäviä rakenteita ei tarvitse luokitella ohjausjärjestelmän osiksi. Kiinteä suojus, mekaaninen rajoitin tai kantava rakenne voi pienentää riskiä itsenäisenä suojatoimenpiteenä. Jos sama rakenne kuitenkin käynnistää, toteuttaa tai ylläpitää ohjaukseen perustuvaa turvallisuustoimintoa, sen vaikutusta ei voi sivuuttaa.
Elektroniikan puuttuminen ei tarkoita turvallisuusvaikutuksen puuttumista. Ratkaisevaa on elementin tehtävä ennakoitavassa vikaskenaariossa.
ISO 13849 hyödyntää koneissa oikeasti saatavia tietoja
Menetelmän valinta ratkeaa usein tietojen saatavuuteen. Turva-PLC:n mukana saadaan tavallisesti PL, SIL, PFH, reaktioajat, käyttörajoitukset ja integraatio-ohjeet. STO-toiminnolla varustetusta käytöstä saadaan usein vastaava paketti. Tavallisesta kontaktorista, venttiilistä, rajakytkimestä tai mekaanisesta lukosta saatetaan saada aivan erilaisia tietoja.
Kulumiselle alttiille komponenteille valmistaja voi ilmoittaa B10D-arvon. Se kuvaa toimintajaksojen määrää, jonka jälkeen 10 prosenttia tarkastellusta komponenttijoukosta on vikaantunut vaarallisesti. Arvo ei yksin riitä. Lisäksi tarvitaan sovelluksen vuotuinen toimintajaksojen määrä nop, jotta voidaan johtaa MTTFD.
Sama venttiili voi vaihtaa asentoa viisi kertaa työvuorossa tai kerran kahdessa sekunnissa. Luettelotunnus on sama, mutta luotettavuus kyseisessä käyttökohteessa ei ole. Myös kuormitus, paine, väliaineen puhtaus, lämpötila, voitelu, asennusasento ja kunnossapito vaikuttavat tulokseen.
Vaarallinen vikaantumistapa on määriteltävä. Venttiili voi juuttua avoimeksi, jäädä väliasentoon, vuotaa sisäisesti tai muuttua niin hitaaksi, ettei turvallista tilaa saavuteta sallitussa ajassa. Komponentti voi siis edelleen liikkua ja silti olla turvallisuustoiminnon kannalta vikaantunut.
ISO 13849-1:n liitteet tarjoavat menetelmiä ja tyypillisiä arvoja sähkömekaanisille, pneumaattisille, hydraulisille ja mekaanisille komponenteille. Niitä saa käyttää vain soveltuvien tuotestandardien, valmistajan käyttöehtojen sekä turvallisuuden perusperiaatteiden ja koeteltujen periaatteiden täyttyessä.
Standardin taulukko on perustelun lähtökohta, ei loppupäätelmä. Oletusarvo ei kumoa valmistajan rajoituksia eikä sovelluksen fysiikkaa.
PL-arviointi ei ole pelkkä PFH-laskelma. Siihen kuuluvat arkkitehtuuriluokka, MTTFD, diagnostiikan kattavuus DC, yhteisvikaantumisten hallinta CCF, systemaattiset virheet, ohjelmisto, ympäristöolosuhteet, vikakäyttäytyminen sekä tarvittaessa vikojen poissulkeminen.
Vian poissulkeminen on erityisen vaativa kohta. Se ei tarkoita lausetta “tämä ei käytännössä rikkoudu”. Poissuljettava vika on yksilöitävä, ja perustelun on nojattava rakenteeseen, materiaaleihin, kuormitukseen, asennukseen, ympäristöön, käyttöikään ja tunnettuun fysikaaliseen käyttäytymiseen. Jos perustelu toimii vain puhtaassa laboratoriossa mutta kone käy pölyssä, kosteudessa ja iskujen keskellä, perustelu ei kanna.
Vian poissulkeminen ei ole analyysin puuttumista. Se on yksi analyysin vaativimmista ja tarkimmin dokumentoitavista tuloksista.
ISO 13849 on koneissa käytännöllinen juuri siksi, ettei se vaadi kaikilta osilta samanlaista tietopakettia. Validoidusta osajärjestelmästä voidaan käyttää ilmoitettua PL-, SIL- ja PFH-tietoa. Kuluvalle komponentille voidaan käyttää B10D-arvoa ja todellista käyttötaajuutta. Muissa tapauksissa voidaan hyödyntää valmistajan MTTFD-tietoa, tuotestandardeja, diagnostiikkaa, koeteltuja periaatteita tai tarkasti perusteltuja vian poissulkemisia.
ISO 13849 vai IEC 62061, kun mukana on pneumatiikkaa tai mekaniikkaa?
Vanha nyrkkisääntö kuului, että ISO 13849 kattaa koko koneen ja IEC 62061 vain sähköiset, elektroniset ja ohjelmoitavat järjestelmät. Tämä kuvaus perustuu IEC 62061:n vanhempiin painoksiin eikä enää vastaa nykyistä soveltamisalaa.
IEC 62061:2021 laajensi tarkastelua niin, etteivät ei-sähköiset teknologiat automaattisesti jää turvallisuustoiminnon ulkopuolelle. Pneumaattinen venttiili, hydraulinen komponentti tai mekaaninen jarru ei siis estä SIL-pohjaisen menetelmän käyttämistä.
IEC 62061 ei ole enää vain sähkötekniikan standardi. Pneumatiikka tai mekaniikka ei itsessään sulje SIL-arviointia pois.
Soveltamisalan laajeneminen ei kuitenkaan tuota puuttuvia luotettavuustietoja. Venttiilin jousi, tiiviste tai luisti ei saa automaattisesti PFH-arvoa tai SILCL-rajaa. Ei-sähköinen toteutus on mallinnettava osajärjestelmänä, jonka vaaralliset vikaantumistavat, diagnostiikka, rakenne ja käyttöolosuhteet tunnetaan riittävän hyvin.
Esimerkiksi hätäpysäytystoiminto voi muodostua hätäpysäytyslaitteesta, turva-PLC:stä, 5/2-venttiilistä ja pneumaattisesta toimilaitteesta. IEC 62061 -tarkastelussa venttiili apuelementteineen muodostaa lähtöosajärjestelmän. On arvioitava, voivatko sen viat estää turvallisen tilan ja millä taajuudella tämä voi tapahtua.
Jos valmistaja toimittaa validoidun PFH-arvon ja käyttörajoitukset, niitä voidaan käyttää. Muussa tapauksessa tarvitaan komponenttitietoja, testausta, huoltoon perustuvia oletuksia, diagnostiikan arviointia ja arkkitehtuurin mallintamista. Jos tietoja tai uskottavaa perustelua ei ole, osajärjestelmä rajoittaa koko toiminnon osoitettavaa tasoa.
Mekaanisten ja fluiditekniikan komponenttien kuluminen ei myöskään aina noudata elektroniikalle tyypillistä vakionopeuksista vikaantumismallia. IEC TS 63394:2023 täydentää tätä aluetta käsittelemällä mekaanisten, pneumaattisten ja hydraulisten teknologioiden luotettavuusmalleja realistisemmin.
ISO 13849:n historiallinen etumatka näkyy silti työkaluissa ja käytännöissä. Markkinoilla on pitkään ollut komponenttikirjastoja, laskentaohjelmia, validoituja arkkitehtuureja ja valmistajatietoja, jotka käyttävät B10D-, MTTFD- ja PL-käsitteitä. Standardin muodollinen soveltuvuus ja projektissa käytettävissä oleva todistusaineisto ovat kaksi eri asiaa.
Pneumatiikka ei enää sulje SIL-menetelmää pois. Se sulkee silti tehokkaasti pois kuvitelman, että pelkän elektroniikan laskeminen riittäisi.
SIL-sertifioitu komponentti ei pakota koko toimintoa SIL-menetelmään
Jos koneessa on SIL 3 -turva-PLC, SIL 3 -valoverho ja SIL 3 -tasolle arvioitu STO-toiminto, koko turvallisuustoimintoa ei silti ole pakko suunnitella IEC 62061:n mukaan. Osajärjestelmän sertifikaatti ilmoittaa sen kyvyn ja käyttörajat. Se ei valitse koko toiminnon arviointimenetelmää suunnittelijan puolesta.
SFS-EN ISO 13849-1 sallii eri standardien mukaisesti validoitujen osajärjestelmien yhdistämisen. PL-kielellä arvioitu toiminto voi sisältää IEC 62061:n, IEC 61508 -sarjan, ISO 13849:n tai soveltuvien tuotestandardien mukaan arvioituja osajärjestelmiä.
Käytännössä samassa toiminnossa voi olla SILCL 3 -valoverho, SIL 3 -turva-PLC, SIL 3 -STO, B10D-arvolla kuvattu kontaktori ja ISO 13849:n periaatteilla arvioitu pneumaattinen venttiili. Tämä on täysin mahdollinen yhdistelmä, kun tiedot ovat yhteensopivia, käyttörajoitukset täyttyvät ja kokonainen toiminto arvioidaan.
SIL 3 -komponentti ei määrää koko projektin menetelmää. Se määrää, millä ehdoilla kyseistä osajärjestelmää saa käyttää turvallisuusperustelussa.
PL ja SIL kohtaavat PFH-arvossa, mutta eivät muutu samaksi menetelmäksi
PL- ja SIL-tasojen välillä on PFH-alueisiin perustuva korrelaatio jatkuvassa tai usein vaaditussa käytössä. PL b ja PL c sijoittuvat SIL 1 -alueelle, PL d SIL 2 -alueelle ja PL e SIL 3 -alueelle. PL a:lla ei ole vastaavaa SIL-tasoa.
Tämä ei tarkoita, että PL d olisi kaikilta vaatimuksiltaan sama asia kuin SIL 2. Menetelmät käyttävät osin eri rakennevaatimuksia, prosesseja ja käsitteitä. ISO 13849 tarkastelee muun muassa luokkia, MTTFD-arvoa, diagnostiikan kattavuutta, CCF:ää, vikakäyttäytymistä, ohjelmistoa ja koeteltuja turvallisuusperiaatteita. IEC 62061 käyttää omia vaatimuksiaan arkkitehtuurirajoille, laitteiston vikasietoisuudelle, systemaattiselle eheydelle ja ohjelmiston elinkaarelle.
Osajärjestelmälle, joka on validoitu IEC 62061:n tai IEC 61508:n mukaan, ei tarvitse keksiä ISO 13849:n mukaista luokkaa. Luokka ei ole SIL-tason toinen nimi. Validoitua laitetta voidaan käyttää lohkona sen ilmoitettujen PFH-arvojen, vasteaikojen, käyttörajoitusten ja turvallisuusohjeiden mukaisesti.
Integraatiota ei kuitenkaan saa ohittaa. Sertifikaatti ei tarkista koneen johdotusta, sovellusohjelmaa, uudelleenkäynnistysehtoja, ohitustoimintoja, turvaetäisyyttä tai lähtölaitteiden takaisinkytkentää. Valoverho voi havaita ihmisen täydellisesti mutta olla asennettu liian lähelle vaaraa. STO voi toimia täydellisesti, vaikka riskin vähentäminen olisi todellisuudessa vaatinut SS1-toimintoa ja mekaanista jarrua.
PL ja SIL voivat osua samaan PFH-alueeseen. Se ei tee niiden suunnittelu- ja osoitusmenettelyistä keskenään vaihdettavia.
ISO 12100, SRS ja turvallisuustoiminnon paikka suunnittelussa
Riskin arviointi päättyy monessa asiakirjassa lauseeseen “käytetään lukittua suojusta”. Se kuulostaa tekniseltä mutta ei vielä määritä toimintoa. Lause ei kerro, mikä havaitaan, mitkä liikkeet pysäytetään, kuinka nopeasti turvallinen tila saavutetaan, miten paine tai potentiaalienergia hallitaan eikä milloin uudelleenkäynnistys sallitaan.
ISO 12100 määrittää riskin arvioinnin ja kolmiportaisen riskin pienentämisen periaatteet. Kun riskin pienentäminen riippuu ohjausjärjestelmän toteuttamasta toiminnosta, tarvitaan tekninen turvallisuusvaatimusmäärittely ja sitä vastaava turvallisuuteen liittyvä ohjausjärjestelmä.
ISO 13849-1:2023 korostaa SRS:n asemaa riskin arvioinnin ja ohjausjärjestelmän suunnittelun välisenä siltana. SRS muuntaa vaaran ja riskin pienentämistarpeen konkreettisiksi vaatimuksiksi: käynnistäväksi tapahtumaksi, koneen reaktioksi, turvalliseksi tilaksi, PLr-tasoksi, vasteajaksi, käyttötavoiksi, vikatilanteen käyttäytymiseksi ja uudelleenkäynnistyksen ehdoiksi.
Tämä on tärkeää erityisesti silloin, kun riskin arvioinnin, mekaniikan, sähköistyksen ja ohjelmiston tekevät eri henkilöt tai organisaatiot. Ilman SRS:ää sana “pysäytys” voi tarkoittaa yhdelle PLC-lähdön poistoa, toiselle momentin poistoa ja kolmannelle kaiken energian poistamista. Kone voi puolestaan jatkaa liikettä, laskea painovoiman vaikutuksesta tai säilyttää vaarallisen paineen.
ISO 12100:n seuraavaa painosta koskevissa standardointitöissä suhdetta ohjausjärjestelmän turvallisuustoimintoihin pyritään selkeyttämään. ISO:n hanketietojen mukaan ISO/DIS 12100.3:n on tarkoitus korvata myös ISO/TR 22100-2:2013, joka käsittelee ISO 12100:n ja ISO 13849-1:n välistä yhteyttä. Koska kyse on standardointityöstä, lopullinen sisältö ja julkaisutilanne on aina tarkistettava ajantasaisesta ISO- tai SFS-lähteestä.
Suunta on silti selvä: riskin arviointi ja turvallisuustoiminnon suunnittelu eivät ole erillisiä maailmoja. Prosessin pitäisi edetä katkeamatta vaarasta riskin pienentämiseen, turvallisuustoimintoon, vaadittuun tasoon, arkkitehtuuriin, verifiointiin ja lopulta validointiin.
Riskin arvioinnin loppu ei ole merkintä “asenna lukittu suojus”. Siitä alkaa turvallisuustoiminnon varsinainen suunnittelu.
Miksi koneissa näkyy useammin PL kuin SIL?
Vastaus ei ole, että ISO 13849 olisi aina parempi tai että IEC 62061 kuuluisi vain monimutkaisiin ohjelmoitaviin järjestelmiin. Molemmat ovat hyväksyttyjä menetelmiä koneiden turvallisuuteen liittyvien ohjausjärjestelmien suunnitteluun, kun niitä käytetään soveltamisalansa ja vaatimustensa mukaisesti.
PL näkyy koneissa useammin ennen kaikkea käytännön syistä. Tyypillinen koneen turvallisuustoiminto on monitekninen. ISO 13849 tarjoaa vakiintuneen tavan yhdistää samaan turvallisuusperusteluun sertifioitu elektroniikka, sähkömekaaniset komponentit, venttiilit, hydrauliikka, jarrut ja signaalin muodostava mekaniikka.
Lisäksi käytettävissä olevat tiedot sopivat usein luontevasti ISO 13849:n malliin. Yhdestä osajärjestelmästä saadaan PFH ja SIL, toisesta PL, kolmannesta B10D, neljännestä MTTFD ja viidennestä vain tunnetut vikaantumistavat sekä valmistajan käyttöehdot. Menetelmä antaa keinot rakentaa näistä yhtenäisen osoituksen ilman, että analyysi katkaistaan sähköisen ja ei-sähköisen tekniikan rajalle.
Menetelmää valittaessa kannattaa kysyä neljä asiaa:
- Mitä turvallisuustoiminnon pitää fyysisesti tehdä?
- Minkä teknologioiden ja energioiden läpi toiminto kulkee?
- Mitä luotettavuus- ja vikaantumistietoja osajärjestelmistä oikeasti on saatavilla?
- Kummalla menetelmällä koko ketju voidaan osoittaa ja validoida ilman perusteettomia oletuksia?
IEC 62061 voi olla erinomainen valinta, kun osajärjestelmät, tiedot, ohjelmistoprosessit ja organisaation osaaminen tukevat SIL-pohjaista suunnittelua. ISO 13849 on usein luontevampi, kun toiminto yhdistää kuluvia komponentteja, fluiditekniikkaa ja mekaanisia alatoimintoja tai kun valmistajatiedot on annettu PL-, B10D- ja MTTFD-muodossa.
Lopputulos ei saa riippua siitä, kumpi lyhenne oli ensimmäisenä laiteluettelossa. Se riippuu siitä, saavutetaanko määritelty turvallinen tila vaaditussa ajassa, säilyykö se vian ja energian paluun aikana ja onko kokonainen toiminto validoitu myös todellisessa koneessa.
Kone ei pysähdy sertifikaattiin eikä turva-PLC:n lähtöön. Se pysähtyy vasta, kun koko turvallisuustoiminto on tehnyt tehtävänsä — ja juuri se on suunniteltava, laskettava ja validoitava.