Op gegevensbladen staan PL en SIL keurig naast elkaar. Een veiligheids-PLC is geschikt voor SIL 3 en PL e, een veiligheidsrelais eveneens, en een aandrijving met STO vaak ook. Toch kiezen machinebouwers bij het specificeren en valideren van een complete veiligheidsfunctie veel vaker voor NEN-EN-ISO 13849-1 dan voor NEN-EN-IEC 62061. De eenvoudige verklaring voor ISO 13849 of IEC 62061 luidt meestal: ISO 13849 is makkelijker. Dat is maar een deel van het verhaal.
Een machine is geen schakelkast. Een veiligheidsfunctie al helemaal niet. Een geopende afscherming beweegt eerst een nok, rol of bedieningspen. Daarna verwerkt een veiligheidsrelais of veiligheids-PLC het signaal. Vervolgens moet een contactor werkelijk afvallen, een ventiel omschakelen, een veer de schuif verplaatsen en mogelijk een rem een verticale as vasthouden. Dat is geen verzameling losse veiligheidsproducten, maar één keten die een veilige toestand moet bereiken én behouden.
Een certificaat op een veiligheidsrelais stopt geen machine. De complete veiligheidsfunctie doet dat.
ISO 13849 of IEC 62061: begin bij de veiligheidsfunctie
In veel projecten staat de volgorde op zijn kop. Eerst worden een lichtscherm, veiligheids-PLC, aandrijving met STO en een paar contactoren gekozen. Daarna wordt bij de gekozen hardware een veiligheidsfunctie geschreven. Op het schema ziet dat er overtuigend uit: twee kanalen, terugkoppeling, PL e, SIL 3. Alleen is nog niet duidelijk wat de machine fysiek moet doen wanneer gevaar ontstaat.
De formulering “bij het openen van de afscherming stopt de machine” is geen volwaardige specificatie. Bedoelen we STO, waarbij de aandrijving geen koppel meer kan produceren maar de beweging door traagheid kan uitlopen? Is SS1 nodig, waarbij eerst gecontroleerd wordt afgeremd en daarna STO volgt? Moet de aandrijving via SS2 naar een bewaakte stilstand gaan? Of is SOS vereist om een veilige stilstand actief te bewaken en te handhaven?
Die keuzes zijn niet onderling uitwisselbaar. Een vliegwiel kan na STO nog lang draaien. Een verticale as kan na het wegnemen van motorkoppel zakken. Een pneumatische cilinder kan blijven bewegen door opgeslagen druk. Ze worden niet veilig omdat een uitgangsbit nul is geworden.
Eerst definieert u de veiligheidsfunctie. Pas daarna kiest u PL, SIL, architectuur en componenten.
De specificatie van veiligheidseisen, doorgaans aangeduid als SRS, vormt de brug tussen de risicobeoordeling volgens ISO 12100 en het ontwerp van de veiligheidsgerelateerde delen van het besturingssysteem. Voor iedere functie moet de SRS ten minste duidelijk maken:
- welke gebeurtenis de functie activeert;
- welke bewegingen en energieën moeten worden beheerst;
- welke reactie vereist is, bijvoorbeeld STO, SS1, SS2, SOS of een combinatie;
- welke veilige toestand moet worden bereikt;
- binnen welke tijd die toestand nodig is;
- hoe de veilige toestand behouden blijft;
- in welke bedrijfsmodi de functie actief is;
- wat er gebeurt bij een defect of energieverlies;
- onder welke voorwaarden opnieuw starten is toegestaan.
Pas daarna bepaalt de risicobeoordeling welk vereist prestatieniveau, PLr, of welk vereist SIL bij de functie hoort. PLr beschrijft niet wat de functie moet doen. Het geeft aan hoe betrouwbaar zij haar taak moet uitvoeren. Het bereikte PL moet vervolgens gelijk aan of hoger dan het vereiste PLr zijn.
Een belangrijk praktijkpunt is de benodigde reactietijd. Zo snel mogelijk stoppen is niet altijd automatisch het veiligst. Hard remmen kan een werkstuk losrukken, een last laten slingeren of mechanische delen overbelasten. De veilige reactie volgt uit de werkelijke gevaren, bewegingsenergie, stoptijd en toegangssnelheid van personen.
Niet het uitgangsbit maar energie en dynamiek bepalen de gevolgen van een fout.
De grens ligt niet bij de schakelkast
Blokschema’s tonen graag drie nette delen: ingang, logica en uitgang. In werkelijkheid begint de veiligheidsfunctie vaak vóór de elektrische ingang. Een afscherming moet een nok, rol, tong of bedieningspen betrouwbaar verplaatsen. Slijtage, speling in een scharnier, een verkeerd gekozen schakelpunt of een verschoven schakelaar kan ertoe leiden dat een geopende afscherming niet wordt gedetecteerd.
De veiligheids-PLC kan dan volledig correct functioneren en toch een onjuiste voorstelling van de werkelijkheid krijgen. Kanaalvergelijking, kortsluitdetectie en interne zelfdiagnose repareren geen slecht ontworpen mechanische bediening. De PLC ziet contacten; hij ziet de afscherming niet.
NEN-EN-ISO 13849-1 laat de analyse daarom beginnen waar het fysieke voorval wordt omgezet in veiligheidsinformatie. Een mechanische nok of rol kan onderdeel zijn van de veiligheidsketen wanneer de detectie daarvan afhangt.
De grens van een veiligheidsfunctie loopt niet langs de wand van de schakelkast, maar van fysieke gebeurtenis naar fysiek gevolg.
Aan de uitgangszijde geldt hetzelfde. Een afgeschakelde PLC-uitgang is slechts een besturingsbeslissing. De contactor moet de vermogenskring daadwerkelijk onderbreken. Het ventiel moet omschakelen. De rem moet voldoende kracht opbouwen. Opgeslagen energie moet verdwijnen, worden afgevoerd of veilig worden vastgehouden.
Dat betekent niet dat de complete mechanische machine automatisch onderdeel wordt van het veiligheidsgerelateerde besturingssysteem. Een gewone cilinder ligt doorgaans buiten het SRP/CS, terwijl de ventielen die de energie beheersen wel tot het uitgangssubsysteem kunnen behoren. Heeft een cilinder echter een geïntegreerde vergrendeling die een veiligheidsdeelfunctie uitvoert, dan moet die rol in de analyse worden meegenomen. Ook wanneer een onderdeel formeel buiten het SRP/CS valt, moet tijdens de validatie worden aangetoond dat de machine de vereiste veilige toestand bereikt en behoudt.
Een bruikbare afbakening ontstaat door per onderdeel één vraag te stellen: kan een defect ertoe leiden dat de activerende gebeurtenis niet wordt gedetecteerd, de vereiste reactie uitblijft of de veilige toestand verloren gaat? Zo ja, dan hoort dat onderdeel bij de veiligheidsbewijsvoering, ongeacht of het een printplaat, ventiel of stuk staal is.
Een veilige toestand bestaat in de machine, niet in het programma.
Een veiligheids-PLC met SIL 3 maakt nog geen SIL 3-functie
Een veiligheids-PLC met SIL 3, PL e, twee processoren en uitgebreide zelfdiagnose is een krachtig subsysteem. Het is geen complete veiligheidsfunctie. Het certificaat beschrijft waartoe het apparaat in staat is wanneer het volgens de gebruiksvoorwaarden wordt geselecteerd, geconfigureerd en geïntegreerd.
Die verklaring zegt niets over de montage van de positieschakelaar, de detectie van bedradingfouten, de terugkoppeling van contactoren, het werkelijke omschakelen van een ventiel of een fout in de toepassingssoftware. Ook beoordeelt de fabrikant van de PLC niet of een automatische herstart door een onjuiste resetlogica mogelijk is.
SIL 3 verspreidt zich niet door een installatie zoals 24 volt voedingsspanning.
Een complete functie bestaat meestal uit meerdere serieel verbonden subsystemen: detectie, logica en energiebeheersing. Wanneer één daarvan gevaarlijk faalt, kan de hele functie falen. Daarom moeten bekende PFH-waarden van de subsystemen worden opgeteld.
Neem drie subsystemen met elk een PFH van 8 × 10−8 per uur. Afzonderlijk vallen ze binnen het bereik van PL e. Samen bedraagt de PFH:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 per uur.
De complete functie valt daarmee in het bereik van PL d, niet PL e. Het toevoegen van betrouwbare delen kan de totale kans op een gevaarlijke fout dus verhogen, omdat de keten meer potentiële faalplaatsen krijgt.
PL e + PL e + PL e levert niet automatisch PL e op. De PFH van de complete keten beslist.
Een hoog prestatieniveau wordt niet bereikt door keurmerken bij elkaar op te tellen. Het volgt uit een beheerste architectuur: zo weinig mogelijk kritieke serieafhankelijkheden, zinvolle redundantie, voldoende diagnostische dekking, beheersing van fouten met gemeenschappelijke oorzaak en een onderbouwde PFH voor de complete functie.
Redundantie helpt alleen wanneer beide kanalen niet door dezelfde oorzaak uitvallen. Twee identieke ventielen naast elkaar zijn geen overtuigende oplossing als beide met dezelfde vervuilde perslucht worden gevoed, dezelfde voedingsleiding delen of door dezelfde verkeerd ingestelde druk worden beïnvloed. De beoordeling van fouten met gemeenschappelijke oorzaak is dus geen administratief vinkje, maar een controle op de geloofwaardigheid van de architectuur.
ISO 13849 of IEC 62061 bij gemengde technologieën
De praktische kracht van NEN-EN-ISO 13849-1 wordt zichtbaar zodra een veiligheidsfunctie meerdere technologieën doorkruist. Denk aan deze keten:
afscherming → mechanische nok → elektromechanische positieschakelaar → veiligheidsrelais → pneumatisch ventiel → veerretour → drukafvoer → mechanische rem.
Dit blijft één veiligheidsfunctie. De afdelingen werktuigbouwkunde, elektrotechniek en pneumatiek kunnen hun eigen documenten en verantwoordelijkheden hebben, maar de machine kent die organisatiestructuur niet. Als één schakel zijn taak niet uitvoert, kan de veilige toestand uitblijven.
De machine verdeelt een veiligheidsfunctie niet over vakafdelingen. Dat doen alleen wij.
ISO 13849 is vanaf de basis ingericht voor veiligheidsgerelateerde besturingsdelen die elektrisch, elektronisch, hydraulisch, pneumatisch of mechanisch zijn uitgevoerd. De functie kan in subsystemen worden verdeeld zonder te eisen dat ieder individueel onderdeel een eigen PL-verklaring heeft.
Een veer in een ventiel heeft bijvoorbeeld niet zelfstandig PL e nodig. Als die veer het ventiel na energieverlies naar de veilige stand moet brengen, moet wel worden beoordeeld wat er gebeurt wanneer zij breekt, kracht verliest, verkeerd is gemonteerd of de mechanische weerstand niet overwint. Hetzelfde geldt voor de geometrie en bevestiging van een bedieningsnok en voor de krachtopbouw van een mechanische rem.
Geen elektronica betekent niet: geen invloed op de veiligheid.
Het doel is niet om iedere schroef in een PL-berekening te stoppen. Het doel is om vast te stellen welke elementen een veiligheidssignaal initiëren, verwerken, energie beheersen, een veiligheidsdeelfunctie uitvoeren of de veilige toestand handhaven. Daarna kan de functie logisch in subsystemen worden verdeeld en kunnen relevante foutwijzen worden beoordeeld.
ISO 13849 werkt met gegevens die in de machinebouw beschikbaar zijn
De keuze tussen PL en SIL wordt in de praktijk vaak bepaald door beschikbare betrouwbaarheidscijfers. Een veiligheids-PLC of aandrijving met STO wordt doorgaans geleverd met PFH, PL, SIL, reactietijden, gebruiksbeperkingen en integratie-instructies. Voor een contactor, ventiel, positieschakelaar of vergrendelmechanisme ziet de documentatie er anders uit.
Bij mechanisch slijtende componenten is B10D gebruikelijk: het aantal cycli waarna tien procent van de onderzochte componenten gevaarlijk is uitgevallen. Die waarde krijgt pas betekenis in combinatie met het werkelijke aantal bedieningen per jaar. Een ventiel dat vijf keer per dienst schakelt, heeft in dezelfde machinefunctie een ander betrouwbaarheidsprofiel dan hetzelfde ventiel dat iedere twee seconden schakelt.
Met B10D en het gemiddelde aantal jaarlijkse bedieningen kan de MTTFD worden bepaald. Daarbij moet duidelijk zijn wat de fabrikant als gevaarlijke fout beschouwt. Een ventiel kan nog bewegen, maar zo traag reageren dat de veilige toestand niet binnen de vereiste tijd wordt bereikt. Alleen een cyclisch levensduurgetal vertelt dat niet.
ISO 13849 is praktisch omdat de norm met beschikbare machinegegevens werkt, niet omdat zij minder bewijs zou vragen.
De norm biedt daarnaast methoden en typische waarden voor elektromechanische, mechanische, pneumatische en hydraulische onderdelen. Het gebruik daarvan is aan voorwaarden gebonden. Het onderdeel moet volgens zijn productnorm, bestemming, belastingsgrenzen, omgevingsvoorwaarden en veiligheidsprincipes zijn toegepast. Een standaardwaarde uit een bijlage is het begin van een onderbouwing, niet het einde.
De beoordeling combineert kwantitatieve en kwalitatieve aspecten. Tot de kwantitatieve elementen behoren onder meer MTTFD, diagnostische dekking, PFH en de architectuurcategorie. Kwalitatieve onderwerpen zijn bijvoorbeeld systematische fouten, omgevingsinvloeden, software, beproefde veiligheidsprincipes, voorspelbaar foutgedrag en fouten met gemeenschappelijke oorzaak.
Ook foutuitsluiting vraagt discipline. De uitspraak “dit onderdeel breekt niet” is geen onderbouwing. Een geldige foutuitsluiting benoemt de specifieke foutwijze en motiveert waarom deze onder vastgelegde belastingen, materialen, geometrie, montage- en omgevingsvoorwaarden verwaarloosbaar onwaarschijnlijk is. Inspectie, onderhoud en gebruiksduur kunnen deel van dat argument zijn.
Foutuitsluiting is niet het ontbreken van een analyse; het is een van de zwaarst te onderbouwen uitkomsten ervan.
IEC 62061 is niet langer uitsluitend elektrisch
De oude vuistregel was eenvoudig: ISO 13849 voor de complete machine, IEC 62061 voor elektrische, elektronische en programmeerbare systemen. Die voorstelling past bij oudere uitgaven van IEC 62061, maar is voor de editie van 2021 achterhaald. De werkingssfeer is uitgebreid, zodat ook niet-elektrische technologieën binnen een veiligheidsfunctie kunnen worden behandeld.
De stelling dat pneumatiek of mechanica IEC 62061 automatisch uitsluit, is niet meer actueel.
Een functie met een mechanisch bediende schakelaar, pneumatisch ventiel of mechanische rem kan dus volgens IEC 62061 worden beoordeeld. Daarmee is het praktische gegevensprobleem echter niet verdwenen. Een ruimere werkingssfeer levert niet automatisch gevalideerde PFH-waarden op voor een veer, afdichting, ventielschuif of mechanische vergrendeling.
Bij IEC 62061 wordt zo’n deel als subsysteem in de veiligheidsfunctie gemodelleerd. Zijn gevaarlijke foutwijzen, architectuur, diagnostiek en faalfrequentie moeten voldoende worden onderbouwd. Levert de fabrikant gevalideerde subsysteemgegevens en toepassingsgrenzen, dan kunnen die worden gebruikt. Ontbreken ze, dan is een model nodig op basis van componentgegevens, beproeving, gebruiksprofiel, onderhoud, diagnostiek en architectuur. Ontbreken zowel gegevens als een geloofwaardige onderbouwing, dan beperkt het subsysteem de aantoonbare SIL-capaciteit van de functie.
Dat is vooral relevant bij pneumatiek en mechanica. Elektronische onderdelen worden vaak met een min of meer constante faalfrequentie gemodelleerd. Mechanische onderdelen slijten door cycli, vervuiling, smering, temperatuur, druk, uitlijning en belasting. Hun gedrag verandert tijdens de levensduur. Technische specificaties zoals IEC TS 63394 bieden aanvullende aanwijzingen om zulke technologieën realistischer in de bewijsvoering op te nemen.
Pneumatiek sluit SIL niet uit. Ze sluit wel de illusie uit dat alleen de elektronica hoeft te worden doorgerekend.
IEC 62061 kan daardoor een uitstekende keuze zijn voor complexe, programmeerbare of sterk geïntegreerde veiligheidsbesturingen, ook met niet-elektrische subsystemen. ISO 13849 blijft in veel machines praktischer omdat bibliotheken, componentgegevens, rekengereedschappen, validatieprocedures en de bekende B10D-benadering daar al jaren op aansluiten.
Een component met SIL bepaalt niet de methode voor de hele functie
Een veiligheids-PLC met SIL 3, een lichtscherm met SILCL 3 en een aandrijving met STO op SIL 3 verplichten de ontwerper niet om de complete functie volgens IEC 62061 te beoordelen. NEN-EN-ISO 13849-1 laat toe dat gevalideerde subsystemen uit ISO 13849, IEC 62061, IEC 61508 en toepasselijke productnormen in één veiligheidsfunctie worden gecombineerd.
Een functie die uiteindelijk als PL wordt beoordeeld, kan dus bestaan uit een veiligheids-PLC met SIL 3, een aandrijving met STO op SIL 3, een contactor met B10D-gegevens en een pneumatisch uitgangssubsysteem dat volgens ISO 13849 is onderbouwd. Het is niet nodig om de gecertificeerde PLC intern opnieuw in processoren, voedingen en diagnosecircuits op te delen. De PLC kan als gevalideerd subsysteem worden gebruikt, mits alle gebruiksvoorwaarden worden gevolgd.
Een SIL-certificaat bepaalt de mogelijkheden van een subsysteem, niet de beoordelingsmethode voor de complete machinefunctie.
Die gebruiksvoorwaarden zijn essentieel. SIL 3 kan alleen gelden voor bepaalde aansluitarchitecturen, periodieke beproevingen, gebruiksduren, omgevingscondities, diagnosecycli en softwaremaatregelen. Een aandrijving kan een gecertificeerde STO-functie hebben, maar wanneer de risicobeoordeling een gecontroleerde stop volgens SS1 vereist, is alleen STO nog steeds de verkeerde reactie.
Hetzelfde geldt voor een lichtscherm dat te dicht bij de gevaarlijke zone staat. Het apparaat kan een persoon perfect detecteren en toch te laat zijn om contact met het gevaar te voorkomen. De component werkt volgens specificatie; de veiligheidsfunctie is verkeerd ontworpen.
PL en SIL ontmoeten elkaar bij PFH
Voor functies met hoge of continue aanspraak bestaat een correlatie tussen PL en SIL. PL d ligt bijvoorbeeld in het PFH-bereik dat met SIL 2 samenhangt, en PL e in het bereik van SIL 3. Dat is geen bewijs dat beide methoden identiek zijn.
ISO 13849 gebruikt onder meer architectuurcategorieën, MTTFD, diagnostische dekking, fouten met gemeenschappelijke oorzaak, beproefde veiligheidsprincipes en eisen aan software en systematische fouten. IEC 62061 gebruikt eigen eisen voor architectuurbeperkingen, fouttolerantie, systematische integriteit, subsystemen en de ontwikkelingscyclus. Een vergelijkbaar PFH-bereik betekent dus niet dat de volledige ontwerp- en validatieroute gelijk is.
PL en SIL ontmoeten elkaar bij PFH, maar worden daardoor niet dezelfde ontwerpmethode.
Ook hoeft aan een volgens IEC 62061 of IEC 61508 gevalideerd subsysteem niet kunstmatig een ISO 13849-categorie te worden toegekend. Een categorie beschrijft een specifieke structuur en het gedrag daarvan bij fouten; zij is geen andere schrijfwijze voor SIL. Voor de integrator tellen de gevalideerde PFH, maximale geschiktheid, reactietijd, interfaces en toepassingsbeperkingen.
Van ISO 12100 naar een toetsbare veiligheidsfunctie
Veel risicobeoordelingen eindigen met een maatregel als “afscherming met vergrendeling toepassen”. Dat klinkt concreet, maar specificeert nog niet welke beweging stopt, hoe snel dat gebeurt, wat er met pneumatische of hydraulische energie gebeurt en wanneer opnieuw starten is toegestaan.
ISO 12100 bepaalt waar verdere risicoreductie nodig is. Zodra die reductie afhankelijk is van een besturingsfunctie, moet de maatregel worden vertaald naar een concrete veiligheidsfunctie. NEN-EN-ISO 13849-1 positioneert de SRS als basis voor het ontwerp, de verificatie en de validatie van de veiligheidsgerelateerde besturingsdelen.
De normalisatiewerkzaamheden rond een volgende editie van ISO 12100 laten eveneens zien dat de verbinding tussen risicobeoordeling en het specificeren van veiligheidsfuncties steeds explicieter wordt. De actuele projectstatus en definitieve tekst moeten altijd in de ISO- of NEN-catalogus worden gecontroleerd, maar de technische richting is duidelijk: risicobeoordeling en besturingsontwerp zijn geen twee losstaande werelden.
Waar de risicobeoordeling eindigt met “vergrendeling toepassen”, begint het echte ontwerp van de veiligheidsfunctie.
Een robuust proces loopt daarom in één lijn door: gevaar, gevaarlijke situatie, risicoreductie, activerende gebeurtenis, vereiste reactie, veilige toestand, PLr of SIL, architectuur, verificatie en validatie. Berekeningen tonen dat de gekozen structuur de vereiste betrouwbaarheid kan halen. Validatie toont dat de werkelijke machine onder voorzienbare omstandigheden doet wat in de SRS is vastgelegd.
Waarom PL in machines vaker voorkomt dan SIL
De conclusie bij de keuze tussen ISO 13849 of IEC 62061 is niet dat de ene norm eenvoudig en de andere uitsluitend voor ingewikkelde systemen is. Beide normen kunnen passende routes bieden. IEC 62061 kan sinds de editie van 2021 ook functies met niet-elektrische technologieën omvatten.
ISO 13849 komt in de machinebouw vaker voor omdat zij al lange tijd een praktische, breed ondersteunde methode biedt voor veiligheidsfuncties waarin elektronica, elektromechanica, pneumatiek, hydrauliek en mechanica samenkomen. Zij kan gevalideerde PFH-gegevens combineren met B10D, MTTFD, architectuurcategorieën, diagnostiek, beproefde veiligheidsprincipes en onderbouwde foutuitsluitingen.
Stel daarom vóór de normkeuze vier vragen:
- Wat moet de veiligheidsfunctie fysiek doen?
- Welke technologieën en energieën doorloopt de functie?
- Welke betrouwbaarheidscijfers en foutgegevens zijn werkelijk beschikbaar?
- Met welke methode kan de complete keten zonder kunstmatige onderbrekingen worden geverifieerd en gevalideerd?
Bij een sterk geïntegreerd programmeerbaar systeem met complete subsysteemgegevens kan IEC 62061 de meest logische keuze zijn. Bij een klassieke machinefunctie met schakelaars, contactoren, ventielen, remmen en mechanische bediening is ISO 13849 vaak de directere route. Een SIL-label op het duurste onderdeel mag die keuze niet bepalen.
De machine stopt niet bij het certificaat en ook niet bij de uitgang van de veiligheids-PLC. Zij is pas veilig wanneer de complete functie de juiste reactie uitvoert, de veilige toestand op tijd bereikt en die toestand ondanks voorzienbare fouten behoudt. Precies dát moet worden gespecificeerd, berekend, beproefd en gevalideerd.