Iekārtu katalogos PL un SIL mierīgi dzīvo blakus. Drošības PLC ir SIL 3 un PL e, piedziņas droši atslēgta griezes momenta funkcija ir novērtēta līdzīgi, un arī drošības relejam sertifikātu netrūkst. Tomēr, kad jāprojektē un jāvalidē visa mašīnas drošības funkcija, praksē biežāk izvēlas LVS EN ISO 13849-1, nevis LVS EN IEC 62061.
Tāpēc jautājums ISO 13849 vai IEC 62061 nav tikai par ērtāku aprēķinu metodi. Mašīna nav elektriskais skapis, bet drošības funkcija nav viens sertificēts modulis. Aizsarga atvēršana fiziski pārvieto izcilni, tas iedarbina pozīcijas slēdzi, signāls nonāk loģikā, bet pēc tam vārstam, kontaktoram, bremzei vai piedziņai reāli jānovērš bīstamā kustība.
Sertificēts relejs mašīnu neaptur. To aptur tikai pilnīga drošības funkcija — no fiziskā ierosinātāja līdz droša stāvokļa sasniegšanai un uzturēšanai.
Ja vārsts iestrēgst, izcilnis vairs neaizsniedz slēdzi, atspere lūst vai bremze nenotur vertikālo asi, funkcija ir atteikusi. Drošības PLC SIL 3 marķējums šo fiziku neatceļ. Tieši te parādās ISO 13849 praktiskā priekšrocība: viena metode var aptvert elektriskas, elektroniskas, pneimatiskas, hidrauliskas un mehāniskas ar drošību saistītas vadības sistēmas daļas.
ISO 13849 vai IEC 62061: vispirms definējiet drošības funkciju
Daudzos projektos secība ir apgriezta. Vispirms izvēlas drošības PLC, gaismas aizkaru, releju vai piedziņu ar STO funkciju. Pēc tam jau izvēlētajām ierīcēm piemeklē aprakstu: “atverot aizsargu, mašīna apstājas”.
Tas nav drošības funkcijas apraksts. Tas ir virsraksts.
Jānosaka, kas tieši notiek pēc aizsarga atvēršanas. Vai vajadzīga:
- STO — droši atslēgts griezes moments, pieļaujot inerces izskrējienu;
- SS1 — kontrolēta bremzēšana, kam seko STO;
- SS2 — kontrolēta apstādināšana un pāreja uz droši uzraudzītu stāvokli;
- SOS — droši uzraudzīta nekustīga stāvokļa uzturēšana ar aktīvu piedziņu;
- vai koordinēta vairāku asu, vārstu, bremžu un palīgsistēmu secība.
STO nav bremze. Tā tikai novērš griezes momenta radīšanu piedziņā. Smaga inercē esoša masa var turpināt kustību, savukārt vertikāla ass pēc momenta atslēgšanas var sākt krist. Gravitācija negaida PLC atļauju un nelasa piedziņas sertifikātu.
Vispirms definē funkciju un drošo stāvokli. Tikai pēc tam izvēlas PL, SIL, arhitektūru un komponentus.
Drošības prasību specifikācijā jeb SRS katrai funkcijai jānorāda vismaz:
- ierosinošais notikums;
- gaidāmā mašīnas reakcija;
- sasniedzamais un uzturamais drošais stāvoklis;
- pieļaujamais reakcijas un apstāšanās laiks;
- darba režīmi, kuros funkcija ir aktīva;
- rīcība enerģijas zuduma vai konstatētas atteices gadījumā;
- atkārtotas palaišanas nosacījumi;
- nepieciešamais veiktspējas līmenis PLr vai nepieciešamais SIL.
PLr nenosaka, ko mašīnai darīt. Tas nosaka, cik droši un uzticami konkrētā reakcija jāizpilda. Ja pati reakcija ir izvēlēta nepareizi, iespaidīgs aprēķins tikai precīzi pierāda nepareizas funkcijas uzticamību.
Bīstamību rada enerģija, kustības dinamika un nepietiekams attālums — nevis PLC statusa bits.
Drošības funkcijas robeža nebeidzas pie vadības skapja
Blokshēmā viss izskatās tīri: ieeja, loģika, izeja. Reālajā mašīnā robežas ir neērtākas.
Aizsargs pats “nenosūta signālu”. Tam vispirms jāpārvieto izcilnis, rullītis, mēlīte vai cita mehāniska daļa. Nodilis rullītis, vaļīga eņģe, nepareizs iedarbes punkts vai pārāk mazs pārvietojums var radīt situāciju, kurā aizsargs ir atvērts, bet abi elektriskie kanāli turpina rādīt normālu stāvokli.
PLC šajā brīdī neko nav izdarījis nepareizi. Tas pareizi nolasa nepareizu informāciju par fizisko realitāti. Divkanālu ieeja un diagnostika neizlabo slikti projektētu iedarbināšanas mehāniku.
Arī ķēdes otrā galā izejas atslēgšana vēl nav drošais stāvoklis. Kontaktoram fiziski jāatvieno jauda, vārstam jāpārslēdzas, spiedienam jāizzūd vai jātiek droši noslēgtam, bremzei jāattīsta vajadzīgais spēks. Enerģija ir jālikvidē, jāizkliedē vai droši jāpārņem citam elementam.
Drošības funkcijas robeža iet no vietas, kur fizisks notikums kļūst par signālu, līdz vietai, kur signāls rada un uztur fiziski drošu rezultātu.
Tas nenozīmē, ka visa mašīnas mehānika automātiski jāiekļauj PL aprēķinā. ISO 13849 nodala ieejas, loģikas un izejas apakšsistēmas. Parasts pneimatiskais cilindrs bieži paliek ārpus pašas ar drošību saistītās vadības sistēmas daļas. Tomēr tā kustība, slodze un iespējamā uzvedība joprojām jāņem vērā validācijā.
Ja cilindrā ir integrēts mehānisks fiksators, kas uztur drošo stāvokli, tā lomu vairs nevar vienkārši izsvītrot. Pareizais pārbaudes jautājums ir vienkāršs: vai šā elementa atteice var neļaut konstatēt bīstamo notikumu, izpildīt reakciju vai uzturēt drošo stāvokli? Ja var, elements ir daļa no drošuma pamatojuma neatkarīgi no tā, vai tam ir vadi.
SIL 3 drošības PLC neveido SIL 3 funkciju
Drošības PLC katalogā izskatās kā svarīgākā sistēmas daļa: divi procesori, pašdiagnostika, SIL 3, PL e un garš sertifikāts. No tā viegli izdarīt ērtu, bet nepareizu secinājumu — ja PLC ir SIL 3, arī visa funkcija ir SIL 3.
Deklarētais līmenis raksturo apakšsistēmas spēju, ja tā ir pareizi izvēlēta, konfigurēta, integrēta un izmantota ražotāja noteiktajos apstākļos. Tas automātiski nepāriet uz slēdžiem, vadiem, programmatūru, kontaktoriem, vārstiem un bremzēm.
SIL 3 pa instalāciju neizplatās kā 24 voltu spriegums.
Tipiskā funkcijā sensors konstatē notikumu, drošības loģika pieņem lēmumu, bet izejas apakšsistēma noved mašīnu drošā stāvoklī. Ķēde zaudē spēju pildīt funkciju savā vājākajā posmā, nevis tajā posmā, kuram ir visbiezākais sertifikāts.
PLC var pareizi izslēgt izejas, taču kontaktors var palikt sametināts, vārsts var iestrēgt vai nepareizi konfigurēta atkārtota palaišana var nekavējoties atļaut jaunu kustību. PLC savu uzdevumu būs izpildījis. Drošības funkcija — ne.
Arī PL vērtības nevar vienkārši “saskaitīt”. Ja funkcijā ir trīs virknē savienotas apakšsistēmas un katrai PFH ir 8 × 10−8 stundā, kopējais rezultāts ir:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 stundā.
Katra apakšsistēma atsevišķi var atrasties PL e diapazonā, bet summa jau atbilst PL d diapazonam. Vairāk elementu nozīmē vairāk iespējamu bīstamas atteices vietu.
PL e + PL e + PL e ne vienmēr dod PL e. Robežas nosaka visas funkcijas PFH, arhitektūra un uzvedība atteices gadījumā.
Augstu PL panāk nevis ar sertifikātu kolekcionēšanu, bet ar pārdomātu struktūru: nevajadzīgu kritisko punktu samazināšanu, diagnostiku, pamatotu redundanci, kopēja cēloņa atteiču kontroli un visas funkcijas PFH novērtējumu. Divi identiski kanāli nav neatkarīgi, ja abi cieš no viena barošanas traucējuma, temperatūras, piesārņojuma vai montāžas kļūdas.
Viena drošības funkcija, vairākas tehnoloģijas
ISO 13849 lielākā priekšrocība nav kategoriju B, 1, 2, 3 un 4 tabula. Tā parādās brīdī, kad funkcija iziet no kataloga un nonāk īstā mašīnā.
Aizsargs pārvieto mehānisku izcilni. Izcilnis iedarbina elektromehānisku pozīcijas slēdzi. Signāls nonāk drošības relejā vai PLC. Izeja atslēdz pneimatiskā vārsta spoli. Atspere pārvieto aizbīdni, spiediens tiek noslēgts vai izvadīts, bet mehāniska bremze notur asi.
Tā ir viena funkcija ar vairākām tehnoloģijām. Organizācijā par katru posmu var atbildēt cita nodaļa, taču mašīna šo sadalījumu nepazīst.
Mašīnai ir vienalga, kur beidzas automātiķa, pneimatiķa un mehāniķa amata apraksts. Ja viens posms neizpilda savu lomu, drošais stāvoklis netiek sasniegts.
ISO 13849 ļauj šādu ķēdi sadalīt loģiskās apakšsistēmās un novērtēt katras ieguldījumu. Tas nenozīmē, ka katrai atsperei vai skrūvei piešķir atsevišķu PL. PL raksturo apakšsistēmu un gala rezultātā pilnu drošības funkciju.
Ja atspere pēc enerģijas zuduma novieto vārstu drošā stāvoklī, jāizvērtē tās lūzums, spēka samazināšanās, nepareiza montāža, piesārņojuma izraisīta iesprūšana un nespēja pārvarēt mehānisko pretestību. Atspere nav vadības ierīce, taču tās atteice var izraisīt visas funkcijas bīstamu atteici.
Tas pats attiecas uz bremzi. Piedziņa var nevainojami izpildīt STO, bet vertikālā ass tomēr nokritīs, ja bremze neattīstīs vajadzīgo spēku. Elektronika būs nostrādājusi pareizi, bet drošības funkcija būs zaudēta.
ISO 13849 izmanto datus, kas mašīnbūvē patiešām ir pieejami
Teorijā izvēle starp PL un SIL šķiet metodoloģisks lēmums. Praksē to bieži nosaka pieejamie dati — vai to trūkums.
Drošības PLC un piedziņa parasti tiek piegādāti ar PFH, PL, SIL, reakcijas laikiem un izmantošanas ierobežojumiem. Taču ķēdē ir arī pozīcijas slēdži, kontaktori, vārsti, releji, mehāniskas bremzes un dilstoši iedarbināšanas mehānismi. Šiem elementiem biežāk ir pieejams B10D, ciklu skaits, slodzes nosacījumi vai dati no izstrādājuma standarta.
B10D ir ciklu skaits, pēc kura 10 procenti pārbaudīto komponentu piedzīvo bīstamu atteici. Lai no tā iegūtu vidējo laiku līdz bīstamai atteicei MTTFD, jāzina reālais operāciju skaits gadā. Tas ir būtiski: identisks vārsts, kuru pārslēdz piecas reizes maiņā, un vārsts, kuru pārslēdz ik pēc divām sekundēm, konkrētajā lietojumā nav vienlīdz uzticami.
ISO 13849 ir praktiska nevis tāpēc, ka prasa mazāk pierādījumu, bet tāpēc, ka ļauj pierādījumu veidot no mašīnbūvē reāli pieejamiem datiem.
Novērtējumā izmanto ne tikai MTTFD, diagnostikas pārklājumu DC, kopēja cēloņa atteices CCF un arhitektūru. Jāvērtē arī:
- paredzamie atteiču veidi;
- pamatoti izvēlētas drošības pamatprincipu un pārbaudītu drošības principu prasības;
- komponentu izvēle, slodze un vides apstākļi;
- programmatūras un sistemātiskās kļūdas;
- uzvedība pēc atsevišķas atteices;
- apkopes, testēšanas un nomaiņas intervāli;
- pamatoti atteiču izslēgšanas gadījumi.
Atteices izslēgšana nav tehnisks veids, kā uzrakstīt “tas nekad nesalūzīs”. Jānorāda konkrēts atteices veids un ar konstrukciju, slodzēm, materiāliem, montāžu un ekspluatācijas apstākļiem jāpamato, kāpēc tā varbūtība ir nenozīmīga.
Atteices izslēgšana nav analīzes neesamība. Tā ir viens no visprasīgākajiem analīzes secinājumiem.
Ja validētai apakšsistēmai ražotājs jau ir norādījis PL vai SIL un PFH, ISO 13849 ļauj to izmantot kā validētu bloku. Nav nepieciešams atkārtoti analizēt katru PLC procesoru vai piedziņas iekšējo ķēdi. Taču jāievēro ražotāja noteiktā arhitektūra, testēšanas intervāli, vides robežas, reakcijas laiki un integrācijas nosacījumi.
ISO 13849 vai IEC 62061: neelektriskas tehnoloģijas vairs nav formāla robeža
Vēsturiski IEC 62061 attiecās galvenokārt uz elektriskām, elektroniskām un programmējamām elektroniskām ar drošību saistītām vadības sistēmām. Tāpēc jauktām funkcijām ar pneimatiku, hidrauliku vai mehāniku ISO 13849 bija dabiska izvēle.
IEC 62061 2021. gada redakcija paplašināja tvērumu arī uz neelektriskām tehnoloģijām. Tādēļ vairs nav pareizi apgalvot, ka pneimatisks vārsts vai mehāniska bremze automātiski izslēdz SIL metodes izmantošanu.
IEC 62061 vairs nav tikai elektriskām un programmējamām sistēmām. Ne-elektriska apakšsistēma var būt daļa no funkcijas, kas novērtēta ar SIL.
Tomēr standarta tvēruma paplašināšana automātiski nerada trūkstošus uzticamības datus. Atspere, blīvējums, aizbīdnis vai mehānisks fiksators pēkšņi neiegūst savu SIL. SIL ir prasība drošības funkcijai, savukārt apakšsistēmai var noteikt maksimālo izmantošanas robežu, piemēram, SILCL.
Apskatīsim vienkāršu ķēdi:
avārijapturēšanas ierīce → drošības PLC → pneimatiskais vārsts → cilindrs → bīstamā kustība.
IEC 62061 pieejā jāmodelē izpildes apakšsistēma — vārsts, tā vadība, atgriezes mehānisms, iespējamā redundance un diagnostika. Jāizvērtē iestrēgšana atvērtā vai aizvērtā stāvoklī, iekšēja noplūde, pārslēgšanās laika palielināšanās un atsperes spēka zudums.
Ja ražotājs nodrošina validētu PFH un lietošanas ierobežojumus, datus var tieši iekļaut SIL aprēķinā. Ja tie nav pieejami, jāveido pamatots modelis no komponentu datiem, testiem, arhitektūras, diagnostikas un apkopes pieņēmumiem. Ja nav ne datu, ne pamatota modeļa, apakšsistēma ierobežo visas funkcijas pierādāmo līmeni.
IEC TS 63394 palīdz sasaistīt IEC 62061 ar mehānisku, pneimatisku un hidraulisku tehnoloģiju īpatnībām. Tas ir svarīgi, jo elektronikai bieži izmanto aptuveni nemainīgu atteiču intensitāti, bet mehāniski elementi dilst atkarībā no cikliem, slodzes, eļļošanas, piesārņojuma un montāžas.
Pneimatika vairs neizslēdz SIL. Tā joprojām izslēdz ilūziju, ka pietiek aprēķināt tikai elektroniku.
Tātad IEC 62061 spēj aptvert jauktas tehnoloģijas. ISO 13849 praksē bieži saglabā priekšrocību tāpēc, ka ražotāju dati, komponentu bibliotēkas, aprēķinu rīki un validācijas procedūras jau ilgstoši izmanto B10D, MTTFD, kategorijas un tipiskus dažādu tehnoloģiju atteiču modeļus.
Komponents ar SIL nenosaka visas funkcijas novērtēšanas metodi
Ja skapī ir SIL 3 drošības PLC, SIL 3 piedziņa un SILCL 3 gaismas aizkars, tas nenozīmē, ka visa funkcija obligāti jāprojektē saskaņā ar IEC 62061.
ISO 13849 ļauj vienā funkcijā izmantot apakšsistēmas, kas validētas saskaņā ar ISO 13849, IEC 62061, IEC 61508 vai piemērojamu izstrādājuma standartu. Funkcija, kuru beigās izsaka ar PL, var ietvert drošības PLC ar SIL 3, piedziņu ar SIL 3 STO, kontaktoru ar B10D datiem un pneimatisku vārstu, kas novērtēts ar ISO 13849 metodēm.
Apakšsistēmas sertifikāts norāda tās iespējas. Tas projektētāja vietā neizvēlas visas drošības funkcijas novērtēšanas metodi.
Sertificētai IEC 62061 vai IEC 61508 apakšsistēmai nav obligāti jāizdomā ISO 13849 kategorija. Kategorija nav cits SIL nosaukums. Tā apraksta noteiktu arhitektūru un uzvedību atteices apstākļos. Integrators var izmantot sertificētu bloku ar zināmu PFH, reakcijas laiku, drošuma spēju un lietošanas ierobežojumiem, nepētot tā iekšējo elektroniku.
PL un SIL ir korelācija pēc bīstamas atteices vidējā biežuma stundā:
- PL b un PL c korelē ar SIL 1 diapazonu;
- PL d korelē ar SIL 2 diapazonu;
- PL e korelē ar SIL 3 diapazonu;
- PL a nav atbilstoša SIL līmeņa.
Tomēr PL d nav vienkārši “tas pats, kas SIL 2”. Tie pārklājas PFH diapazonā, bet ceļš līdz rezultātam atšķiras. ISO 13849 izmanto kategorijas, MTTFD, DC, CCF, sistemātisko kļūdu kontroli un arhitektūras uzvedību. IEC 62061 izmanto savas prasības arhitektūras ierobežojumiem, atteiču toleranci, sistemātisko integritāti, programmatūru un projektēšanas procesu.
PL un SIL satiekas PFH diapazonā, taču nekļūst par vienu un to pašu projektēšanas metodi.
Arī validēts bloks jālieto pareizi. Piedziņas STO ar SIL 3 nepalīdz, ja riska novērtējums faktiski prasa kontrolētu SS1 bremzēšanu. Gaismas aizkars ar augstu drošuma spēju nepalīdz, ja tas uzstādīts tik tuvu bīstamajai zonai, ka cilvēks to sasniedz pirms apstāšanās. Drošības PLC sertifikāts nepasargā no programmas, kas iestatīšanas režīmā ļauj apiet bloķētāju ar parastu vadības komandu.
ISO 12100, SRS un drošības funkcijas vieta projektēšanā
Riska novērtējuma tabulās bieži parādās pasākums “uzstādīt aizsargu ar bloķēšanu”. Tas ir pareizs virziens, bet vēl nav tehniska specifikācija.
Šāds ieraksts nepaskaidro, kuras kustības jāaptur, cik ātri tas jādara, kas notiek ar pneimatisko, hidraulisko un potenciālo enerģiju, kā uzturēt drošo stāvokli un kad atļauta atkārtota palaišana.
ISO 12100 nosaka riska novērtēšanas un samazināšanas procesu. Ja riska samazināšana ir atkarīga no vadības sistēmas darbības, rezultāts jāpārveido konkrētā drošības funkcijā un tās SRS. ISO 13849 šeit nav pēc projekta beigām izpildāms aprēķins. Tā ir tehniska saikne starp riska novērtējumu un vadības sistēmas projektēšanu.
Riska novērtējums nebeidzas ar frāzi “uzstādīt bloķētu aizsargu”. Tieši tur sākas drošības funkcijas projektēšana.
Praktiskā secība ir šāda:
- identificēt apdraudējumu un bīstamo situāciju;
- noteikt vajadzīgo riska samazinājumu;
- definēt drošības funkciju un drošo stāvokli;
- noteikt PLr vai SIL prasību;
- izvēlēties apakšsistēmas un arhitektūru;
- veikt aprēķinus un sistemātisko kļūdu kontroli;
- verificēt projektu;
- validēt funkciju uz reālas mašīnas, tostarp reakcijas un apstāšanās laiku.
Starptautiskās standartizācijas darbs pie ISO 12100 nākamās redakcijas arī uzsver ciešāku pāreju no riska novērtēšanas uz drošības funkciju specifikāciju. Tas nenozīmē IEC 62061 izslēgšanu. Tas nozīmē, ka drošības funkciju vairs nevar atstāt neskaidru līdz programmēšanas vai nodošanas ekspluatācijā posmam.
ISO 13849 vai IEC 62061: kā pieņemt pamatotu lēmumu
Atbilde nav “ISO 13849 ir vienkāršāka” un nav arī “SIL paredzēts sarežģītām sistēmām”. Abas pieejas var būt tehniski pareizas. Izvēle jābalsta uz konkrēto funkciju un pieejamo pierādījumu.
Pirms standarta izvēles uzdodiet četrus jautājumus:
- Kas funkcijai fiziski jāizdara? Nepietiek ar “apturēt mašīnu”; jādefinē kustība, enerģija, reakcijas laiks un uzturamais stāvoklis.
- Kādas tehnoloģijas veido visu ķēdi? Jāaptver ieeja, loģika, enerģijas vadība, bremzēšana un drošā stāvokļa uzturēšana.
- Kādi dati patiešām ir pieejami? PFH, SILCL, PL, B10D, MTTFD, diagnostikas dati, testu rezultāti un lietošanas ierobežojumi.
- Kura metode ļauj bez mākslīgiem pārtraukumiem pierādīt un validēt visu funkciju?
Standarta izvēlei jābūt inženiertehniskam lēmumam, nevis strīdam par to, kurš saīsinājums izskatās iespaidīgāk sertifikātā.
ISO 13849 mašīnās biežāk redzama tāpēc, ka tā jau ilgstoši piedāvā praktisku veidu, kā vienā modelī apvienot elektroniskas, elektromehāniskas, pneimatiskas, hidrauliskas un mehāniskas apakšsistēmas. Tā labi izmanto mašīnbūvē pieejamos datus un ļauj validēt funkciju kā vienotu ķēdi.
IEC 62061 ir pilnvērtīga alternatīva, īpaši sistēmās ar labi definētām apakšsistēmām, pieejamiem PFH datiem un organizācijā nostiprinātu funkcionālā drošuma procesu. Kopš 2021. gada neelektriskas tehnoloģijas pašas par sevi vairs nav šķērslis. Taču arī šajā pieejā jāmodelē un jāpamato viss izpildes ceļš.
Ne PL, ne SIL neatbrīvo no validācijas uz reālas mašīnas. Jāpārbauda ne tikai loģiskie signāli, bet arī apstāšanās laiks, bremzes noturēšanas spēja, vārstu pārslēgšanās, diagnostika, atkārtota palaišana un uzvedība atteices vai enerģijas zuduma gadījumā.
Mašīna neapstājas sertifikātā un neapstājas pie drošības PLC izejas. Tā apstājas tikai tad, kad pilnīga drošības funkcija ir sasniegusi un uztur fiziski drošu stāvokli.