Az ISO 13849 vagy IEC 62061 kérdés papíron egyszerű módszerválasztásnak tűnik. Az adatlapokon a PL és a SIL békésen megfér egymás mellett: a biztonsági PLC SIL 3 és PL e, a hajtás STO funkciója szintén, a fényfüggöny pedig hasonlóan meggyőző tanúsítványt kapott. Amikor azonban a teljes gép biztonsági funkcióját kell meghatározni, igazolni és validálni, a gyakorlatban sokkal gyakrabban kerül elő az EN ISO 13849-1.
A kényelmes magyarázat szerint azért, mert könnyebb használni. Van ebben igazság, de nem ez a lényeg. A gép nem vezérlőszekrény, a biztonsági funkció pedig nem azonos egy tanúsított vezérlővel. A védőburkolat elmozdít egy bütyköt, az működtet egy helyzetkapcsolót, a jel eljut a logikához, majd egy szelepnek, kontaktornak, hajtásnak vagy féknek ténylegesen biztonságos állapotba kell vinnie a gépet.
A relé vagy a biztonsági PLC tanúsítványa nem állítja meg a gépet. A teljes biztonsági funkció állítja meg.
Ha a kapcsoló görgője nem mozdul el, a szelep megszorul, a rugó eltörik vagy a fék nem tartja meg a függőleges tengelyt, a funkció meghiúsul. Ezen nem változtat, hogy a középen dolgozó vezérlő egyébként SIL 3 minősítésű.
Az ISO 13849 legnagyobb gyakorlati előnye ezért nem pusztán a jól ismert B, 1, 2, 3 és 4 kategória vagy egy kényelmes számítási eszköz. Sokkal fontosabb, hogy egyetlen módszertani keretben kezelhetők vele az elektromos, elektronikus, elektromechanikus, pneumatikus, hidraulikus és mechanikus technológiák biztonsággal összefüggő vezérlési elemei.
Az ISO 13849 valódi ereje ott látszik, ahol a biztonsági jel kilép a katalógusból, és találkozik a gép fizikájával.
ISO 13849 vagy IEC 62061: előbb a biztonsági funkciót kell meghatározni
Sok projekt fordított sorrendben indul. Először kiválasztják a biztonsági PLC-t, a relét, a fényfüggönyt vagy az STO funkcióval ellátott hajtást. Ezután megpróbálnak biztonsági funkciót írni a már megvásárolt eszközök köré.
A rajzon minden meggyőző: két csatorna, diagnosztika, PL e, SIL 3. Csak arra nincs pontos válasz, hogy veszély esetén fizikailag mit kell tennie a gépnek.
A „védőburkolat nyitásakor a gép leáll” nem követelményspecifikáció, hanem legfeljebb fejezetcím. Nem derül ki belőle, hogy:
- biztonságos nyomatékkikapcsolásra, azaz STO-ra van szükség, amely mellett a mozgás kifuthat;
- szabályozott lassítás után kell STO állapotba lépni, vagyis SS1 szükséges;
- szabályozott megállás után felügyelt álló helyzetet kell fenntartani, vagyis SS2 kell;
- aktív hajtás mellett biztonságos üzemi megállást, azaz SOS állapotot kell tartani;
- esetleg tengelyek, szelepek, fékek és segédberendezések összehangolt leállítási sorrendjére van szükség.
A különbség nem elméleti. STO esetén a hajtás nem hoz létre nyomatékot, de a tehetetlenség tovább mozgathatja a gépet. Függőleges tengelynél a gravitáció sem vár engedélyre a PLC-től. A tengely lezuhanhat, ha a fék, a visszacsapó szelep vagy más tehermegtartó megoldás nem végzi el a saját feladatát.
Amíg nincs meghatározva a kiváltó esemény, a szükséges reakció, az elérendő biztonságos állapot és annak fenntartása, addig nincs biztonsági funkció. Csak egy jól hangzó mondat van.
Az EN ISO 13849-1 ezt a lépést a biztonsági követelményspecifikációval, vagyis az SRS-sel rendezi. Az SRS kapcsolja össze az ISO 12100 szerinti kockázatértékelést a biztonsággal összefüggő vezérlőrendszer-részek későbbi tervezésével.
Minden funkciónál meg kell határozni legalább:
- a funkciót kiváltó eseményt;
- a gép elvárt reakcióját;
- az elérendő és fenntartandó biztonságos állapotot;
- a megengedett válasz- és leállási időt;
- azokat az üzemmódokat, amelyekben a funkciónak aktívnak kell lennie;
- a viselkedést energiaellátás-kiesés vagy észlelt hiba esetén;
- az újraindítás feltételeit;
- az adott funkcióhoz szükséges PLr vagy SIL szintet.
A PLr nem azt mondja meg, mit kell tennie a funkciónak. Azt mondja meg, milyen megbízhatóan kell végrehajtania a már pontosan meghatározott feladatot. Ezért a megfelelő sorrend: kockázatértékelés, funkciómeghatározás, szükséges megbízhatósági szint, architektúra, eszközválasztás, számítás, ellenőrzés és validálás.
Nem a PLC állapotbitje veszélyes vagy biztonságos, hanem a gép energiája és dinamikája. Ezeket kell uralni.
A funkció határa nem a vezérlőszekrény szélén húzódik
A tömbvázlat rendezett világot mutat: bemenet, logika, kimenet. A valóság ennél makacsabb. A védőburkolat nem küld közvetlenül villamos jelet. Előbb fizikailag el kell mozdítania egy bütyköt, görgőt, rudazatot vagy működtető kulcsot.
Ha a zsanér kikopik, a bütyök elállítódik, a görgő megszorul vagy túl kicsi a kényszermozgatási út, a kapcsoló nem feltétlenül jelzi a nyitást. A PLC közben hibátlanul olvassa a kapocs állapotát. Csak éppen az állapot már nem felel meg a gép valós helyzetének.
A bemeneti redundancia, a csatorna-összehasonlítás és a rövidzár-felügyelet nem javítja meg a rossz mechanikai működtetést. A PLC a kontaktusokat látja, nem a védőburkolatot.
Ugyanez igaz a kimeneti oldalra. A vezérlő kimenetének kikapcsolása még csak vezérlési döntés. Ezután a kontaktornak valóban meg kell szakítania a teljesítményáramkört, a szelepnek át kell váltania, a nyomásnak le kell épülnie, a féknek pedig fel kell építenie a szükséges tartóerőt.
A biztonságos állapot nem a programban létezik. A gépen kell fizikailag létrejönnie és ott kell fennmaradnia.
Ez nem jelenti azt, hogy a gép teljes mechanikáját bele kell kényszeríteni a PL-számításba. Az ISO 13849 a biztonsággal összefüggő vezérlőrendszer-részeket tipikusan bemeneti, logikai és kimeneti alrendszerekre bontja. Egy közönséges munkahenger rendszerint a gép hajtási eleme marad, nem válik automatikusan az SRP/CS részévé.
Ha azonban a munkahengeregység integrált reteszt, mechanikus tartóelemet vagy más biztonsági részfunkciót tartalmaz, azt már nem lehet egyszerűen kihagyni. Még akkor is figyelembe kell venni a munkahenger viselkedését a validálás során, ha maga nem része az SRP/CS-nek: valóban létrejön-e a biztonságos állapot, és fennmarad-e energia-visszatérés vagy belső szivárgás esetén?
A használható határteszt egyszerű:
Az adott elem hibája okozhatja-e, hogy a veszélyes eseményt nem észleljük, a szükséges reakció nem következik be, vagy a biztonságos állapot nem marad fenn?
Ha igen, az elem szerepel a biztonsági bizonyításban, függetlenül attól, hogy processzor, szelep vagy megmunkált acéldarab.
Nem az alkalmazott technológia dönti el, hogy egy elem fontos-e a bizonyításban. A meghibásodási forgatókönyvben betöltött szerepe dönt.
A SIL 3 minősítésű biztonsági PLC nem hoz létre SIL 3 funkciót
Egy korszerű biztonsági PLC adatlapja megnyugtató olvasmány: SIL 3, PL e, többprocesszoros felépítés, önellenőrzés és hosszú tanúsítvány. Könnyű ebből arra következtetni, hogy a teljes funkció is automatikusan ugyanilyen szintű.
Nem az.
A tanúsított szint azt mutatja meg, mire képes az adott alrendszer az előírt alkalmazási, konfigurációs és integrációs feltételek mellett. A minősítés nem terjed át magától a helyzetkapcsolóra, a vezetékezésre, a kontaktorra, a szelepre, a fékre vagy az integrátor által megírt programra.
A SIL 3 nem terjed szét a berendezésben úgy, mint a 24 voltos tápfeszültség.
Egy védőburkolathoz tartozó funkcióban a vezérlő csak a középső láncszem. Az érzékelő észleli az eseményt, a logika döntést hoz, a kimeneti alrendszer pedig biztonságos állapotba viszi a gépet. A lánc a leggyengébb pontján hibásodik meg, nem feltétlenül ott, ahol a legvastagabb a tanúsítvány.
Az EN ISO 13849-1 lehetővé teszi különböző szabványok szerint validált alrendszerek összekapcsolását. Egy funkcióban együtt használható ISO 13849, IEC 62061, IEC 61508 vagy termékszabvány szerint értékelt eszköz. Ettől azonban a legmagasabb részminősítés nem válik a teljes funkció eredményévé.
A PFHD értékeket össze kell adni
Tegyük fel, hogy egy sorosan kapcsolódó bemeneti, logikai és kimeneti alrendszer PFHD értéke külön-külön 8 × 10−8/óra. Mindhárom alrendszer önmagában a PL e tartományába esik.
A teljes funkció egyszerűsített eredménye:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7/óra
Ez már a PL d tartománya. A példa leegyszerűsített, de a tanulsága pontos: a veszélyes meghibásodások hozzájárulása nem tűnik el attól, hogy több tanúsított dobozra osztottuk szét.
PL e + PL e + PL e nem feltétlenül eredményez PL e szintű funkciót. A PL nem alkatrészminősítések összege, hanem a teljes architektúra eredménye.
Magas PL eléréséhez nem minden alkatrész mellé kell még egy ugyanolyan alkatrészt rajzolni. A redundancia csak akkor segít, ha megfelelő diagnosztika, közös okú meghibásodások elleni védelem és kiszámítható hibareakció tartozik hozzá. Két azonos csatorna nem jelent valódi függetlenséget, ha ugyanaz a szennyeződés, táphiba, hőterhelés vagy szerelési hiba egyszerre teszi tönkre mindkettőt.
A teljes értékelésnek ezért ki kell terjednie a kategóriára vagy az alkalmazható architektúrakorlátokra, az MTTFD-re, a diagnosztikai lefedettségre, a közös okú meghibásodásokra, a szisztematikus hibákra, a szoftverre és a validálásra is.
ISO 13849 vagy IEC 62061 több technológiából felépülő funkciónál?
A tipikus gépbiztonsági funkció ritkán tisztán elektronikus. Egy védőburkolat mechanikus bütyköt mozgat, az elektromechanikus kapcsolót működtet, a jel egy biztonsági relébe vagy PLC-be kerül, majd egy pneumatikus szelep tekercsének tápellátása megszűnik. A rugó visszaállítja a tolókát, a nyomás leépül, a mozgás megszűnik. Ha a terhelést meg is kell tartani, mechanikus fék egészíti ki a láncot.
Ez egyetlen biztonsági funkció, több technológiával. A vállalati szervezet közben hajlamos három részre bontani: az automatizálási szakember a PLC-kimenetig felel, a pneumatikai tervező a szelepig, a gépész pedig a bütyköt és a féket méretezi. A gép viszont nem ismeri a szervezeti ábrát.
A gépet nem érdekli, melyik részlegről érkezett a rajz. Ha egyetlen láncszem nem teljesíti a feladatát, a biztonságos állapot nem jön létre.
Az ISO 13849 régóta természetes modellt ad az ilyen vegyes technológiájú funkciókhoz. A teljes út alrendszerekre bontható, majd mindegyik hozzájárulása értékelhető. Ez nem azt jelenti, hogy minden rugó, csavar vagy görgő saját PL minősítést kap. A PL az alrendszerre, végső soron pedig a teljes biztonsági funkcióra vonatkozik.
Ha azonban a szelep rugója hozza létre az energia megszűnésekor szükséges biztonságos helyzetet, vizsgálni kell, mi történik, ha a rugó:
- eltörik vagy kifárad;
- elveszíti a szükséges erőt;
- hibásan kerül beépítésre;
- szennyeződés miatt nem képes elmozdítani a szeleptolattyút;
- nem győzi le a megnövekedett súrlódást.
A rugónak nem kell saját PL e felirat. De ha a hibája meghiúsíthatja a biztonsági részfunkciót, a szerepét bizonyítani kell.
Ugyanez vonatkozik a helyzetkapcsolót működtető bütyökre és a tengelyt tartó fékre. Elektronika nélkül is lehetnek döntő elemei a funkciónak. Az ISO 13849 gyakorlati előnye, hogy ezeket nem kell mesterségesen leválasztani azon a ponton, ahol a villamos vezeték eléri a szeleptekercset.
Az ISO 13849 olyan adatokkal dolgozik, amelyek a gépiparban ténylegesen elérhetők
A biztonsági PLC-hez, hajtáshoz vagy fényfüggönyhöz rendszerint rendelkezésre áll PL, SIL, PFHD, válaszidő és részletes alkalmazási korlátozás. Egy kontaktor, szelep, reteszelő mechanizmus vagy helyzetkapcsoló dokumentációjában viszont gyakran B10D, kapcsolási ciklusszám, terhelési határ vagy termékszabványra hivatkozás található.
Ez nem teszi használhatatlanná az alkatrészt. Azt jelenti, hogy más bizonyítási út kell.
A B10D annak a ciklusszámnak felel meg, amelynél a vizsgált alkatrészek tíz százaléka veszélyes módon meghibásodott. Kopó elektromechanikus, pneumatikus és mechanikus elemeknél ez sokkal közelebb áll a valós használathoz, mint egy önmagában megadott naptári élettartam.
Az azonos típusú szelep egészen más megbízhatóságot nyújt, ha műszakonként ötször kapcsol, mint ha két másodpercenként. Ezért a B10D értéket össze kell kapcsolni a tényleges éves működtetésszámmal. Ebből számítható az adott alkalmazásra vonatkozó MTTFD.
A veszélyes meghibásodási módot szintén tisztázni kell. Egy szelep attól még mozoghat, hogy már túl lassan kapcsol a megkövetelt leállási idő teljesítéséhez. Egy kontaktor elérheti névleges élettartamától távol a veszélyes állapotot, ha nem megfelelő terhelésen használják. A kapcsoló villamos része lehet hibátlan, miközben a működtető mechanika elkopott.
A szabvány táblázatos értékei az indoklás kezdetét jelentik, nem a végét. Az alkalmazási feltételeket mindig igazolni kell.
Az ISO 13849 módszere ezért mennyiségi és minőségi bizonyítékokat együtt kezel. Ide tartozhat:
- a gyártó által megadott PL, SIL és PFHD egy validált alrendszerhez;
- B10D és tényleges működtetésszám;
- gyártói MTTFD adatok;
- termékszabványokból származó adatok;
- bevált biztonsági alapelvek és bevált alkatrészek;
- diagnosztika, redundancia és CCF elleni intézkedések;
- konkrét hibák dokumentált kizárása;
- vizsgálati és validálási eredmények.
Különösen óvatosan kell kezelni a hibakizárást. Ez nem elegánsabb megfogalmazása annak, hogy „ez úgysem romlik el”. Pontosan meg kell nevezni a kizárt hibát, majd konstrukciós, anyagtechnológiai, terhelési és alkalmazási feltételekkel kell igazolni, hogy előfordulása elhanyagolhatóan valószínű.
A hibakizárás nem az elemzés hiánya, hanem annak egyik legnagyobb bizonyítási igényű eredménye.
Az IEC 62061 már nem kizárólag villamos technológiákra alkalmazható
Régebbi oktatási anyagokban még gyakori az egyszerű felosztás: elektronika és programozható vezérlés esetén IEC 62061, pneumatika, hidraulika és mechanika esetén ISO 13849. Ez a megközelítés a korábbi szabványkiadások alapján érthető volt, ma azonban már nem pontos.
Az IEC 62061 2021-es kiadása kiterjesztette a szabvány alkalmazási körét a nem villamos technológiákra is. Egy mechanikusan működtetett kapcsoló, pneumatikus szelep vagy mechanikus fék tehát önmagában nem zárja ki a SIL-alapú értékelést.
A formális lehetőség azonban nem hozza létre automatikusan a szükséges adatokat. Egy szelepből, visszatérítő rugóból, elővezérlésből és nyomásfelügyeletből álló kimeneti alrendszerhez továbbra is megbízható modellt kell készíteni. Vizsgálni kell a veszélyes meghibásodási módokat, a diagnosztikát, a redundanciát, a próbaellenőrzéseket és az alkalmazási körülményeket.
Ha a gyártó validált PFHD értéket és alkalmazási korlátozást ad, az közvetlenül felhasználható. Ha csak közvetett adatok állnak rendelkezésre, a modellt vizsgálatokból, konzervatív feltételezésekből és dokumentált architektúrából kell felépíteni. Ha pedig nincs adat és nincs szakmailag védhető indoklás, az alrendszer korlátozza a teljes funkció igazolható szintjét.
Az IEC TS 63394:2023 azért fontos kiegészítés, mert a mechanikus, pneumatikus és hidraulikus technológiák megbízhatósága nem mindig írható le ugyanazzal az egyszerű állandó meghibásodási intenzitással, amelyet elektronikus alkatrészeknél gyakran alkalmaznak. A kopás, a ciklusszám, a kenés, a szennyeződés, a közeg minősége és a szerelés a modell szerves része.
A pneumatika már nem zárja ki a SIL alkalmazását. Azt az illúziót viszont továbbra is kizárja, hogy elegendő csak az elektronikát kiszámítani.
Az ISO 13849 tehát már nem azért gyakoribb, mert kizárólag ez képes több technológiát kezelni. Azért maradt természetes választás sok gépnél, mert régóta kiforrott módszereket, alkatrészadatokat, szoftveres eszközöket, gyártói könyvtárakat és validálási gyakorlatot kínál a vegyes technológiájú funkciókhoz.
A SIL minősítésű komponens nem kényszeríti SIL-alapú értékelésre a teljes funkciót
Ha a biztonsági PLC, a hajtás és a fényfüggöny is SIL 3 képességű, attól még a teljes funkció értékelhető EN ISO 13849-1 szerint. A szabvány lehetővé teszi az IEC 62061, az IEC 61508 vagy megfelelő termékszabvány szerint validált alrendszerek felhasználását.
Egy PL-ben értékelt funkció tehát tartalmazhat SIL 3 képességű PLC-t, SIL 3 STO funkciót, B10D alapján számított kontaktort és ISO 13849 szerint értékelt pneumatikus szelepet. Ehhez nem kell a tanúsított PLC belső processzorait és diagnosztikáját újraszámolni. A készülék validált alrendszerként használható, ha betartják a gyártó összes alkalmazási feltételét.
A komponens tanúsítványa képességet igazol, nem tervezési módszert választ a teljes gép helyett.
A tanúsítvány első oldala azonban nem elegendő. A SIL 3 vagy PL e minősítés vonatkozhat meghatározott bekötésre, tesztgyakoriságra, küldetési időre, környezeti feltételekre, diagnosztikai funkciókra és szoftverparaméterekre. Ha ezek nem teljesülnek, a megadott képesség sem használható változtatás nélkül.
Az sem következik a SIL-ből, hogy az alrendszernek mesterségesen ISO 13849 szerinti kategóriát kell tulajdonítani. Egy IEC 62061 vagy IEC 61508 szerint validált alrendszer belső architektúrája nem feltétlenül fordítható le B, 1, 2, 3 vagy 4 kategóriára, és erre rendszerint nincs is szükség. A felhasználónak az alrendszer PFHD értékét, képességhatárát, válaszidejét és alkalmazási korlátozásait kell helyesen kezelnie.
A PL és a SIL a PFHD tartományoknál találkozik
Gyakori vagy folyamatos igénybevétel esetén a PL és a SIL között ismert korreláció áll fenn:
- PL b és PL c a SIL 1 tartományához kapcsolódik;
- PL d a SIL 2 tartományához kapcsolódik;
- PL e a SIL 3 tartományához kapcsolódik;
- PL a szintnek nincs közvetlen SIL-megfelelője.
Ez nem jelenti azt, hogy a PL d és a SIL 2 azonos tervezési módszer. A valószínűségi eredményük azonos PFHD tartományba eshet, de eltérő követelményekkel kezelik az architektúrát, a hibákat, a szisztematikus integritást, a fejlesztési folyamatot és a szoftvert.
A korreláció tehát nem univerzális átváltótábla. Egy SIL 3 képességű logika felhasználható PL d funkcióban, de nem emeli automatikusan PL e szintre a gyengébb bemeneti vagy kimeneti alrendszert. A teljes eredményt a legkorlátozóbb alrendszer, a PFHD összege és az összes minőségi követelmény együtt határozza meg.
Az ISO 12100 és a biztonsági funkciók kapcsolata
A kockázatértékelési táblázatok gyakori zárómondata: „reteszelt védőburkolat alkalmazandó”. Ez helyes kockázatcsökkentési irány, de még nem műszaki specifikáció.
Nem mondja meg, mely mozgások álljanak le, milyen sorrendben, mennyi idő alatt, mi történjen a pneumatikus vagy hidraulikus energiával, hogyan kell megtartani a függőleges tengelyt, és mikor engedélyezhető az újraindítás.
Az ISO 12100 azt mutatja meg, hol és miért szükséges további kockázatcsökkentés. Ha ez a csökkentés vezérlőrendszer által végrehajtott biztonsági funkciótól függ, az EN ISO 13849-1 szerinti SRS alakítja át a döntést konkrét műszaki követelménnyé.
Az EN ISO 13849-1:2023 ezt közvetlenül az ISO 12100 szerinti iteratív kockázatcsökkentési folyamatba illeszti. A cél nem az, hogy a PL-számítás a projekt végén még egy kipipálandó feladat legyen, hanem hogy a biztonsági funkció már a védőintézkedés tervezésekor pontosan meghatározott legyen.
Az ISO 12100 következő kiadásának előkészítése szintén a kockázatértékelés és a biztonsági funkciók specifikálása közötti kapcsolat egyértelműbbé tételét jelzi. Ez nem szorítja ki az IEC 62061-et, és nem jelenti azt, hogy minden gépet PL alapján kell értékelni. A fontos változás a folyamat folytonossága:
veszély → veszélyhelyzet → kockázatcsökkentési intézkedés → biztonsági funkció → kiváltó esemény → reakció → biztonságos állapot → PLr vagy SIL → architektúra → ellenőrzés → validálás
A kockázatértékelés vége nem az a mondat, hogy „reteszelt burkolat szükséges”. Pontosan ott kezdődik a biztonsági funkció tervezése.
Mikor célszerű az ISO 13849, és mikor az IEC 62061?
Nincs minden gépre érvényes automatikus válasz. Az ISO 13849 különösen kézenfekvő, ha a funkció több technológián halad keresztül, kopó elektromechanikus vagy fluidtechnikai elemeket tartalmaz, és az adatok jelentős része B10D, MTTFD, kategória vagy bevált biztonsági elv formájában áll rendelkezésre.
Az IEC 62061 jó választás lehet összetett, programozható biztonsági rendszereknél, jól dokumentált alrendszereknél, rendelkezésre álló PFHD adatoknál, illetve olyan szervezetekben, ahol a SIL-alapú fejlesztési és igazolási folyamat már kiforrott. Nem villamos alrendszereket is képes kezelni, ha a szükséges megbízhatósági modell hitelesen felépíthető.
A döntés előtt négy kérdést kell feltenni:
- Mit kell ténylegesen végrehajtania a biztonsági funkciónak?
- Milyen technológiákon halad keresztül a teljes jel- és energiaút?
- Milyen alkatrész- és alrendszeradatok állnak valóban rendelkezésre?
- Melyik módszerrel igazolható és validálható a teljes funkció mesterséges határvonalak nélkül?
A választást nem a vezérlő adatlapján szereplő legnagyobb számnak kell eldöntenie. Az a megfelelő szabvány, amellyel a teljes funkció következetesen specifikálható, megtervezhető, kiszámítható és validálható.
A gép nem a tanúsítványnál és nem a biztonsági PLC kimeneténél áll meg. Csak akkor áll meg biztonságosan, amikor a teljes funkció elvégezte a feladatát.
Ezért látunk a gépgyártásban gyakrabban PL-t, mint SIL-t. Nem azért, mert az ISO 13849 jobban leír egy PLC-t, hanem mert régóta jól használható a teljes biztonsági lánc leírására: a mechanikus működtetéstől az érzékelésen és logikán át az energia vezérléséig, a fékezésig és a biztonságos állapot fenntartásáig.
Az ISO 13849 vagy IEC 62061 tehát nem hitvita és nem puszta kényelmi döntés. Mérnöki választás, amelynek a kockázatértékelésből, a funkció fizikájából, az elérhető adatokból és a teljes bizonyítási láncból kell következnie.