Na tehničkim listovima PL i SIL uredno stoje jedan uz drugi. Sigurnosni PLC ima SIL 3 i PL e, sigurnosni relej također, a pogon s funkcijom STO dolazi sa sličnim deklaracijama. Ipak, kada treba opisati, dokazati i validirati kompletnu sigurnosnu funkciju stroja, projektanti znatno češće posežu za normom EN ISO 13849-1 nego za EN IEC 62061.
Najkraći odgovor na pitanje ISO 13849 ili IEC 62061 glasi: ISO 13849 praktičnija je za tipičan stroj. Ali razlog nije samo jednostavniji proračun. Stroj nije električni ormar, a sigurnosna funkcija nije certifikat jednog uređaja. Ona počinje fizičkim događajem, prolazi kroz ulaz, logiku i izlaz te završava stvarnim postizanjem i održavanjem sigurnog stanja.
Certifikat sigurnosnog releja ne zaustavlja stroj. Zaustavlja ga kompletna sigurnosna funkcija.
Otvaranje zaštitne ograde može pomaknuti mehanički brijeg koji aktivira položajnu sklopku. Signal zatim dolazi do sigurnosnog releja ili PLC-a. Nakon toga ventil mora prekinuti ili rasteretiti energiju, opruga pomaknuti razvodni element, sklopnik odvojiti napajanje, a kočnica zadržati vertikalnu os. Ako bilo koja od tih karika zakaže, funkcija može otkazati bez obzira na to što je PLC certificiran za SIL 3.
ISO 13849 ili IEC 62061: prvo definirajte sigurnosnu funkciju
U mnogim projektima redoslijed je obrnut. Najprije se odaberu sigurnosni PLC, svjetlosna zavjesa, relej i pogon sa STO-om, a zatim se gotovim komponentama naknadno pripiše funkcija. Na shemi sve izgleda ozbiljno: dva kanala, dijagnostika, PL e i SIL 3. Ipak, još nije jasno što stroj mora fizički učiniti kada nastane opasnost.
Najprije se definira sigurnosna funkcija. Tek nakon toga biraju se PL ili SIL, arhitektura i komponente.
Rečenica „otvaranje zaštitne ograde zaustavlja stroj” samo je naslov. Ne govori radi li se o sigurnom isključenju momenta STO, kontroliranom zaustavljanju SS1, kontroliranom zaustavljanju s prelaskom u sigurno nadzirano stanje SS2 ili sigurnom radnom zaustavljanju SOS.
Razlika nije akademska. Kod STO-a pogon prestaje stvarati moment, ali se os zbog inercije može nastaviti gibati. Kod SS1 gibanje se najprije kontrolirano usporava, a zatim se aktivira STO. Kod SS2 pogon nakon kontroliranog zaustavljanja ostaje u nadziranom stanju, dok SOS održava i nadzire siguran zastoj uz aktivan pogon.
Specifikacija mora odgovoriti najmanje na sljedeća pitanja:
- Koji događaj aktivira funkciju?
- Koji se pokreti i izvori energije moraju kontrolirati?
- Treba li zaustavljanje biti trenutno ili kontrolirano?
- Koliko je vremena dopušteno do postizanja sigurnog stanja?
- Što se događa s pneumatskom, hidrauličkom i potencijalnom energijom?
- Kako se sigurno stanje održava nakon nestanka ili povratka energije?
- Kada je i pod kojim uvjetima dopušteno ponovno pokretanje?
Posebno su neugodne vertikalne osi. Isključenje momenta ne isključuje gravitaciju. Ako kočnica ne razvije potrebnu silu ili ventil ne zadrži tlak, os može pasti premda je PLC ispravno izvršio program.
„Stroj se zaustavlja” nije specifikacija. Energija, dinamika i dopušteno vrijeme zaustavljanja moraju biti izričito određeni.
EN ISO 13849-1 taj prijelaz uređuje specifikacijom sigurnosnih zahtjeva, odnosno SRS-om. SRS povezuje rezultate procjene rizika prema ISO 12100 s projektiranjem dijelova upravljačkog sustava povezanih sa sigurnošću, odnosno SRP/CS-a. Za svaku funkciju određuju se inicirajući događaj, očekivana reakcija, sigurno stanje, vrijeme odziva, aktivni načini rada, ponašanje nakon kvara i uvjeti ponovnog pokretanja.
Tek tada PLr dobiva smisao. Zahtijevana razina izvedbe ne opisuje što funkcija radi, nego koliko pouzdano to mora učiniti. Ostvareni PL mora zadovoljiti ili premašiti PLr utvrđen za konkretnu funkciju.
Granica sigurnosne funkcije nije rub električnog ormara
Blokovski prikaz obično je uredan: ulaz, logika i izlaz. Stvarni stroj nije tako pristojan. Zaštitna ograda ne šalje signal sama od sebe. Najprije mora pomaknuti brijeg, valjak ili klip položajne sklopke. Istrošen valjak, zazor šarke, pomaknuta sklopka ili pogrešna točka aktiviranja mogu spriječiti stvaranje signala.
PLC tada može savršeno nadzirati oba kanala, uspoređivati ih i provoditi dijagnostiku. Problem je što vidi stanje kontakata, a ne stvarni položaj zaštitne ograde. Redundantna elektronika ne može popraviti lošu mehaniku aktiviranja.
Granica sigurnosne funkcije prolazi ondje gdje se fizički događaj pretvara u informaciju, a zatim ponovno u fizički učinak.
EN ISO 13849-1 dopušta da analiza SRP/CS-a počne već na mehaničkom brijegu ili valjku sklopke. Na drugom kraju lanca izlaz PLC-a također nije konačni rezultat. Sklopnik mora stvarno otvoriti strujni krug, ventil se mora pomaknuti, tlak mora pasti ili se preusmjeriti, a kočnica mora razviti silu.
Sigurno stanje ne postoji u programu. Ono postoji na stroju.
To ne znači da cijeli stroj treba ugurati u proračun PL-a. Norma razlikuje ulazni, logički i izlazni podsustav. Ventili mogu biti dio sigurnosnog podsustava, dok običan cilindar najčešće ostaje izvan SRP/CS-a. Međutim, ponašanje cilindra i dalje se mora uzeti u obzir pri validaciji postizanja i održavanja sigurnog stanja.
Ako sklop cilindra ima integriranu blokadu ili drugi element koji izvršava sigurnosnu podfunkciju, njegov se doprinos ne smije izostaviti. Praktičan test je jednostavan: može li kvar elementa spriječiti otkrivanje događaja, izvršenje reakcije ili održavanje sigurnog stanja? Ako može, taj je element dio sigurnosnog dokaza, bez obzira nalazi li se u PLC-u ili je izrađen od čelika.
Sigurnosni PLC sa SIL 3 ne stvara funkciju SIL 3
Sigurnosni PLC često je najbolje dokumentiran dio sustava. Ima dva procesora, samodijagnostiku, deklarirani PFH, PL e, SIL 3 i opsežan certifikat. Zbog toga se lako napravi pogrešan zaključak: ako PLC ima SIL 3, onda i funkcija ima SIL 3.
SIL 3 ne širi se instalacijom poput napona od 24 V.
Deklarirana razina opisuje sposobnost podsustava pod propisanim uvjetima primjene, konfiguracije i integracije. Ne prenosi se automatski na sklopke, ožičenje, sklopnike, ventile, kočnice ni aplikacijski program integratora.
Tipična funkcija sastoji se od najmanje tri serijski povezana podsustava: ulaza, logike i izlaza. Ako bilo koji od njih opasno otkaže, sigurnosna funkcija može biti izgubljena. EN ISO 13849-1 zato zahtijeva zbrajanje vrijednosti PFH poznatih podsustava.
Primjerice, ako ulaz, logika i izlaz pojedinačno imaju PFH od 8 × 10−8 na sat, svaki se zasebno nalazi unutar raspona PL e. Međutim, ukupna vrijednost iznosi:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 na sat.
Kompletna funkcija tada ulazi u raspon PL d. Dodavanjem podsustava dodaju se i mjesta mogućeg opasnog otkaza.
PL e + PL e + PL e ne mora dati PL e. Granice PFH-a nisu preporuka, nego matematika.
Visoka razina izvedbe ne postiže se zbrajanjem oznaka s kataloga, nego projektiranjem strukture. To uključuje uklanjanje nepotrebnih serijskih ovisnosti, razumnu redundanciju, učinkovitu dijagnostiku, nadzor povratnih signala, kontrolu kvarova sa zajedničkim uzrokom i provjeru ponašanja nakon pojedinačnog kvara.
Certifikat PLC-a ne provjerava je li položajna sklopka pravilno montirana, može li kratki spoj spojiti oba kanala, radi li povratni nadzor sklopnika, ima li ventil odgovarajuću dijagnostiku ili dopušta li program zaobilaženje zaštite u ručnom načinu rada.
Proizvođač je ocijenio svoj uređaj. Nije ocijenio vaš stroj, vašu aplikaciju ni izmjene napravljene tijekom puštanja u pogon.
Jedna sigurnosna funkcija može obuhvatiti više tehnologija
Najveća praktična prednost norme EN ISO 13849-1 vidi se kada sigurnosna funkcija napusti katalog i završi na stvarnom stroju. Otvaranje ograde pokreće mehanički brijeg, brijeg aktivira elektromehaničku sklopku, signal obrađuje sigurnosni relej, relej isključuje zavojnicu pneumatskog ventila, opruga pomiče razvodnik, tlak se rasterećuje, a mehanička kočnica zadržava os.
To je jedna funkcija, iako kroz nju prolaze mehanička, električna, elektronička i pneumatska tehnologija. Organizacijska podjela na mehaniku, automatiku i pneumatiku ne mijenja tok opasnog događaja.
Stroj ne poznaje granice između odjela. Ako jedna karika ne izvrši svoju ulogu, sigurno stanje neće biti postignuto.
EN ISO 13849-1 primjenjuje se na dijelove upravljačkih sustava povezane sa sigurnošću neovisno o korištenoj tehnologiji i energiji. Funkcija se može podijeliti na podsustave, a njihov se doprinos zatim razmatra unutar zajedničkog dokaza.
To ne znači da svaka opruga, vijak ili valjak dobiva vlastiti PL. PL se utvrđuje za podsustav i na kraju za kompletnu sigurnosnu funkciju. Ipak, ako opruga vraća ventil u siguran položaj, treba razmotriti njezino pucanje, gubitak sile, pogrešnu montažu, blokiranje zbog nečistoće i nemogućnost svladavanja mehaničkog otpora.
Nedostatak elektronike ne znači nedostatak utjecaja na sigurnost.
Isto vrijedi za brijeg položajne sklopke i mehaničku kočnicu. Brijeg nema programski kod ni certifikat, ali njegova geometrija i pričvršćenje određuju hoće li se otvaranje ograde otkriti. Kočnica nema sigurnosni program, ali njezina sila određuje hoće li vertikalna os ostati na mjestu nakon aktiviranja STO-a.
ISO 13849 radi s podacima koji stvarno postoje na strojevima
Izbor metode često ne odlučuje teorijska elegancija, nego raspoloživost podataka. Za sigurnosni PLC ili certificirani pogon proizvođač obično navodi PL, SIL, PFH, vrijeme odziva i ograničenja primjene. Za sklopnik, ventil, sklopku ili blokadni mehanizam češće su dostupni B10D, dopušteni broj ciklusa, opterećenje i uvjeti rada.
Ako podsustav već ima validirane PL ili SIL i PFH, EN ISO 13849-1 dopušta korištenje tih podataka bez ponovnog rastavljanja uređaja na interne komponente. Podsustav se može uključiti kao validirani blok, pod uvjetom da je primijenjen unutar ograničenja proizvođača.
Za mehanički trošive elemente važan je B10D, broj ciklusa nakon kojeg 10 % ispitivanih komponenti opasno otkaže. B10D se povezuje sa stvarnim prosječnim brojem operacija godišnje, nop, kako bi se odredio MTTFD.
Isti ventil koji se prebacuje pet puta u smjeni i ventil koji se prebacuje svake dvije sekunde nemaju jednaku očekivanu pouzdanost u primjeni. Kataloška oznaka može biti ista, ali stvarni radni profil nije.
ISO 13849 nije praktična zato što traži manje dokaza, nego zato što dopušta izgradnju dokaza iz podataka koji doista postoje u strojogradnji.
Prilozi norme nude metode i tipične podatke za mehaničke, hidrauličke, pneumatske i elektromehaničke elemente. Njihova uporaba ipak ovisi o ispunjenju propisanih uvjeta: odgovarajućoj normi proizvoda, pravilima sigurnosti, namjeni, opterećenju, okolišu i uputama proizvođača. Tablična vrijednost početak je obrazloženja, a ne njegovo automatsko zaključenje.
Ocjena PL-a zato kombinira količinske i kvalitativne elemente: MTTFD, dijagnostičku pokrivenost, kvarove sa zajedničkim uzrokom, kategoriju arhitekture, sustavne pogreške, programske zahtjeve, uvjete okoliša, provjerena sigurnosna načela i dopuštena isključenja kvarova.
Isključenje kvara nije tvrdnja „to se neće pokvariti”. To je dokumentirano inženjersko obrazloženje zašto je konkretan način kvara zanemarivo vjerojatan u jasno određenim uvjetima.
Takvo obrazloženje mora navesti konkretan kvar, opterećenja, smjerove djelovanja, materijale, montažu, okolišne uvjete i fizikalne razloge za isključenje. Općenite izjave poput „dio je dovoljno čvrst” nisu dokaz.
ISO 13849 ili IEC 62061 za pneumatske i mehaničke podsustave
Stara tvrdnja da se IEC 62061 odnosi isključivo na električne, elektroničke i programabilne elektroničke sustave više nije aktualna. Izdanje IEC 62061 iz 2021. proširilo je područje primjene i na neelektrične tehnologije. Pneumatski ventil, mehanički aktivirana sklopka ili kočnica zato sami po sebi ne isključuju primjenu SIL-a.
Formalno proširenje područja primjene ipak nije automatski stvorilo potrebne podatke. Opruga, brtva, klizni element ventila ili mehanička blokada ne dobivaju vlastiti SIL samo zato što su uključeni u funkciju ocijenjenu prema IEC 62061. Njihovo ponašanje mora se uključiti u model odgovarajućeg podsustava.
U funkciji zaustavljanja s lancem tipke za zaustavljanje u nuždi, sigurnosnog PLC-a, ventila 5/2 i cilindra treba modelirati izlazni podsustav koji obuhvaća ventil, povratnu oprugu, upravljanje, moguću redundanciju i dijagnostiku. Potrebno je razmotriti zaglavljivanje u otvorenom ili zatvorenom položaju, unutarnje propuštanje, produljeno vrijeme prebacivanja i gubitak sile opruge.
Ako proizvođač daje validirani PFH i ograničenja primjene, ti se podaci mogu izravno uključiti u proračun SIL-a. Ako podataka nema, model se mora izgraditi iz ispitivanja, arhitekture, dijagnostike, održavanja i opravdanih pretpostavki. Ako nema ni podataka ni vjerodostojnog obrazloženja, podsustav ograničava dokazivu razinu cijele funkcije.
Pneumatika više nije izvan područja SIL-a. I dalje je izvan područja iluzije da je dovoljno izračunati elektroniku.
Tehnička specifikacija IEC TS 63394 dodatno obrađuje modeliranje mehaničkih, pneumatskih i hidrauličkih tehnologija. To je važno jer se elektronički elementi često modeliraju približno stalnom stopom kvarova, dok se mehanički i pneumatski elementi troše ovisno o ciklusima, onečišćenju, podmazivanju, temperaturi, tlaku i montaži.
Obje norme danas mogu obuhvatiti višetehnološke sigurnosne funkcije. Razlika je u tome koliko se prirodno dostupni podaci komponenti mogu pretvoriti u uvjerljiv dokaz. ISO 13849 već dugo koristi B10D, broj ciklusa, MTTFD, provjerene komponente, sigurnosna načela i kategorije arhitekture. Zbog toga je industrijska praksa oko nje razvila biblioteke, alate, postupke validacije i tipska rješenja.
Komponenta sa SIL-om ne prisiljava cijeli projekt na IEC 62061
Sigurnosni PLC sa SIL 3, svjetlosna zavjesa sa SILCL 3 i pogon sa STO-om razine SIL 3 ne znače da se cijela funkcija mora dokazivati prema IEC 62061. EN ISO 13849-1 dopušta kombiniranje podsustava validiranih prema EN ISO 13849-1, IEC 62061, seriji IEC 61508 i odgovarajućim normama proizvoda.
Funkcija ocijenjena u jeziku PL-a može zato sadržavati sigurnosni PLC sa SIL 3, pogon sa STO-om razine SIL 3, sklopnik opisan parametrom B10D i pneumatski ventil ocijenjen pravilima norme EN ISO 13849-1.
Certifikat podsustava određuje njegove mogućnosti. Ne bira umjesto projektanta metodu dokazivanja kompletne funkcije.
PL i SIL susreću se u rasponima prosječne učestalosti opasnog otkaza na sat, odnosno PFH-u. Za rad s čestim zahtjevima ili kontinuirani rad PL b i PL c koreliraju sa SIL 1, PL d sa SIL 2, a PL e sa SIL 3. PL a nema odgovarajuću korelaciju u ljestvici SIL-a.
To nije potpuna jednakost metoda. PL d nije jednostavno drugo ime za SIL 2. Metode imaju različite arhitekturne, sustavne, programske i procesne zahtjeve, iako se njihovi rezultati mogu nalaziti u usporedivim rasponima PFH-a.
Certificiranom podsustavu prema IEC 62061 nije potrebno izmišljati kategoriju prema ISO 13849. Kategorija opisuje strukturu i ponašanje podsustava u uvjetima kvara, a nije prijevod oznake SIL. Integrator treba poštovati deklarirani PFH, ograničenja uporabe, vrijeme misije, ispitne intervale, način povezivanja i uvjete okoliša.
Ako ulazna sklopka omogućuje samo PL d, a logika i izlaz imaju SIL 3, cijela funkcija neće automatski postati PL e. Razinu ograničavaju najslabiji podsustav i zbroj PFH-a svih uključenih podsustava. Sigurnosna funkcija nije natjecanje certifikata.
ISO 12100 i mjesto sigurnosne funkcije u procesu projektiranja
Procjena rizika često završi mjerom „primijeniti zaštitnu ogradu s blokadom”. To zvuči tehnički, ali još ne definira funkciju. Ne navodi što treba otkriti, koje pokrete zaustaviti, koliko brzo reagirati, što učiniti s pohranjenom energijom ni kada dopustiti ponovno pokretanje.
ISO 12100 utvrđuje gdje je potrebno dodatno smanjiti rizik. Kada to smanjenje ovisi o upravljačkom sustavu, odluka se mora pretvoriti u konkretnu sigurnosnu funkciju. EN ISO 13849-1:2023 izravno smješta projektiranje SRP/CS-a u iterativni proces smanjenja rizika prema ISO 12100.
Kraj procjene rizika nije zapis „ugraditi blokadu”. Upravo tu počinje projektiranje sigurnosne funkcije.
SRS je veza između tih aktivnosti. On pretvara opasnost i odabranu zaštitnu mjeru u inicirajući događaj, reakciju, sigurno stanje, PLr, vrijeme odziva, aktivne načine rada, sučelja, ponašanje nakon kvara i uvjete ponovnog pokretanja.
Rad na budućem izdanju ISO 12100, uključujući projekt ISO/DIS 12100.3, pokazuje smjer prema još jasnijem povezivanju procjene rizika i projektiranja sigurnosnih funkcija. Konačni sadržaj projekta ne treba unaprijed pretpostavljati, ali inženjerska poruka već je jasna: funkcionalna sigurnost nije naknadni proračun dodan gotovom stroju.
To ne uklanja IEC 62061 niti je čini manje valjanom. Obje metode ostaju prihvatljive ako se primjenjuju unutar svojeg područja i uz ispunjenje svih zahtjeva. Bitan je neprekinut proces: opasnost, opasna situacija, mjera smanjenja rizika, sigurnosna funkcija, zahtijevana razina, arhitektura, verifikacija i validacija.
ISO 13849 ili IEC 62061: kako donijeti razumnu odluku
Odgovor nije da je ISO 13849 uvijek bolja ili da je IEC 62061 rezervirana za složene sustave. Obje norme mogu biti odgovarajući izbor. Odluku treba temeljiti na konkretnoj funkciji, tehnologijama, raspoloživim podacima, iskustvu tima i mogućnosti validacije.
Prije izbora postavite četiri pitanja:
- Što funkcija stvarno mora učiniti? Definirajte događaj, reakciju, sigurno stanje, vrijeme odziva i ponovno pokretanje.
- Kroz koje tehnologije prolazi? Obuhvatite mehaničko aktiviranje, senzore, logiku, upravljanje energijom, ventile, kočnice i druge sigurnosne podfunkcije.
- Koji su podaci stvarno dostupni? Provjerite PFH, SILCL, PL, B10D, MTTFD, broj ciklusa, dijagnostiku i ograničenja proizvođača.
- Koja metoda omogućuje cjelovit dokaz bez umjetnih prekida? Odaberite pristup kojim se može obuhvatiti, verificirati i validirati cijeli lanac.
ISO 13849 češće se pojavljuje u strojogradnji jer već dugo pruža zajednički i praktičan okvir za električne, elektroničke, pneumatske, hidrauličke i mehaničke podsustave. Dobro prihvaća i certificirane blokove s PFH-om i SIL-om te trošive komponente opisane preko B10D-a i radnih ciklusa.
IEC 62061 može biti izvrstan izbor, posebno kada je sustav snažno oslonjen na programabilnu sigurnosnu elektroniku, kada su podaci podsustava dostupni u odgovarajućem obliku i kada organizacija ima uspostavljene procese za SIL. Međutim, oznaka SIL 3 na najskupljem uređaju ne može zamijeniti dokaz za cijelu funkciju.
Stroj se ne zaustavlja na izlazu sigurnosnog PLC-a niti na stranici certifikata. Zaustavlja se tek kada kompletna sigurnosna funkcija postigne i održi fizički sigurno stanje.
Zato izbor norme dolazi nakon razumijevanja funkcije, a ne prije njega. Projektant mora dokazati cijeli put od fizičkog događaja do fizičkog učinka. Sve ostalo samo je uredno dokumentirana nada.