Na kartach katalogowych PL i SIL żyją obok siebie. Sterownik bezpieczeństwa ma SIL 3 i PL e. Przekaźnik podobnie. Napęd z funkcją STO również. A jednak gdy trzeba opisać i zwalidować kompletną funkcję bezpieczeństwa maszyny, znacznie częściej sięgamy po EN ISO 13849-1 niż po EN IEC 62061.
Najprostsza odpowiedź? Bo ISO 13849 jest łatwiejsza.
To wygodne wyjaśnienie. I niepełne.
Maszyna nie jest szafą sterowniczą. Funkcja bezpieczeństwa tym bardziej. Otwarcie osłony uruchamia krańcówkę przez mechaniczną krzywkę. Sygnał trafia do przekaźnika albo safety PLC. Dalej zawór ma odciąć lub uwolnić energię, sprężyna przestawić suwak, a hamulec utrzymać oś w bezpiecznym położeniu.
To nie jest kilka niezależnych zabezpieczeń. To jeden tor, który ma doprowadzić maszynę do stanu bezpiecznego.
Jeżeli zawór nie przełączy się prawidłowo, krańcówka nie zostanie uruchomiona, sprężyna pęknie albo hamulec nie utrzyma osi, funkcja bezpieczeństwa zawiedzie. Nie zmieni tego fakt, że zastosowany sterownik miał certyfikat SIL 3.
Certyfikat przekaźnika nie zatrzymuje maszyny. Zatrzymuje ją kompletna funkcja bezpieczeństwa.
I właśnie tutaj widać największą praktyczną przewagę ISO 13849. Nie chodzi przede wszystkim o prostsze obliczenia ani o dobrze znane kategorie B, 1, 2, 3 i 4. Chodzi o możliwość objęcia jedną metodą elementów systemu sterowania wykonanych w różnych technologiach: elektrycznej, elektronicznej, hydraulicznej, pneumatycznej i mechanicznej. Norma obejmuje je niezależnie od rodzaju wykorzystywanej energii.
Granicy części systemu sterowania związanej z bezpieczeństwem nie trzeba wyznaczać na zacisku wejściowym sterownika. Może obejmować już mechaniczną krzywkę i rolkę wyłącznika położeniowego. System sterowania może natomiast łączyć różne technologie w ramach tej samej funkcji.
Nie oznacza to, że IEC 62061 kończy się dzisiaj na przewodzie elektrycznym. Wydanie z 2021 roku rozszerzyło zakres normy na technologie nieelektryczne. Problem jednak nie zniknął. Został przesunięty.
Sprężyna, mechanizm zaworu, rygiel czy zwykły element pneumatyczny nie otrzymują automatycznie kompletu danych potrzebnych do wykazania SIL całej funkcji. Formalna możliwość objęcia elementu zakresem metody to jedno. Możliwość zbudowania i zwalidowania wiarygodnego dowodu bezpieczeństwa — drugie.
Dlatego pytanie „ISO 13849 czy IEC 62061?” bardzo często stawiamy w złym miejscu. Najpierw trzeba określić:
co uruchamia funkcję bezpieczeństwa, jaka reakcja ma nastąpić oraz jaki stan bezpieczny maszyna ma osiągnąć i utrzymać.
Dopiero później przychodzi czas na dobór architektury, komponentów i metody wykazania wymaganej niezawodności.
Ten kierunek widać również w pracach nad nową ISO 12100. ISO wskazuje, że raport techniczny ISO/TR 22100-2, opisujący relację między ISO 12100 a ISO 13849-1, ma zostać zastąpiony przez projekt ISO/DIS 12100.3. Nie oznacza to usunięcia IEC 62061 z projektowania maszyn. Pokazuje jednak, że przejście od oceny ryzyka do specyfikowania funkcji bezpieczeństwa staje się coraz bardziej bezpośrednie.
1. Najpierw funkcja bezpieczeństwa. Dopiero potem PL albo SIL
W wielu projektach kolejność jest odwrócona. Najpierw wybiera się safety PLC, przekaźnik, kurtynę albo napęd z funkcją STO. Później do gotowych komponentów dopisuje się funkcję bezpieczeństwa.
Na schemacie wszystko wygląda profesjonalnie: SIL 3, PL e, dwa kanały, diagnostyka.
Tyle że nadal nie wiadomo, co maszyna ma zrobić, gdy pojawi się zagrożenie.
„Otwarcie osłony zatrzymuje maszynę” brzmi jak opis funkcji bezpieczeństwa. W rzeczywistości to dopiero poziom nagłówka, nie specyfikacji.
Bo co dokładnie ma się wydarzyć?
Czy mówimy o STO, czyli bezpiecznym wyłączeniu momentu? Napęd przestaje wytwarzać moment, ale ruch nie musi zniknąć natychmiast — przy bezwładności może po prostu wybiec.
Czy o SS1, gdzie ruch jest najpierw kontrolowanie hamowany, a dopiero później następuje bezpieczne wyłączenie momentu?
Czy może o SS2, gdzie po kontrolowanym zatrzymaniu napęd nie przechodzi do STO, tylko pozostaje w stanie monitorowanego bezpiecznego postoju?
A może potrzebne jest SOS, czyli utrzymanie i monitorowanie bezpiecznego postoju przy aktywnym napędzie?
I teraz kluczowe pytanie: czy „zatrzymanie maszyny” oznacza:
bezpieczne wyłączenie momentu i ewentualny wybieg (STO),
kontrolowane hamowanie zakończone STO (SS1),
kontrolowane hamowanie i przejście do monitorowanego postoju (SS2),
utrzymanie monitorowanego bezpiecznego postoju (SOS),
czy jeszcze coś bardziej złożonego, np. sekwencyjne wyłączenie osi, zaworów i układów pomocniczych?
Bo „maszyna się zatrzymuje” to nie jest funkcja bezpieczeństwa. To jest efekt, który może oznaczać zupełnie różne stany fizyczne — od swobodnego wybiegu, przez kontrolowane wyhamowanie, aż po aktywne utrzymanie pozycji.
I każdy z tych stanów ma inne konsekwencje.
Które ruchy mają zostać zatrzymane?
Czy wystarczy wyłączyć moment napędu, czy trzeba również odciąć energię pneumatyczną i hydrauliczną oraz opanować ruch wywołany grawitacją?
Co stanie się z osią pionową po zaniku zasilania — oczywiście, bo jak wiadomo, grawitacja zawsze grzecznie czeka na sygnał z PLC i nigdy nie działa bez pozwolenia — spadnie, zostanie utrzymana, czy musi zostać zahamowana mechanicznie?
Jak szybko ma nastąpić przejście do stanu bezpiecznego — i czy „szybko” nie koliduje z ryzykiem mechanicznym?
W jaki sposób ten stan ma być utrzymany, jeśli energia wróci?
I kiedy dokładnie ponowne uruchomienie jest dozwolone — po zamknięciu osłony, po resecie, po potwierdzeniu operatora, czy po spełnieniu sekwencji warunków?
Dopóki nie odpowiemy na te pytania, nie mamy funkcji bezpieczeństwa. Mamy co najwyżej hasło.
EN ISO 13849-1 porządkuje ten moment za pomocą specyfikacji wymagań bezpieczeństwa, czyli SRS. To właśnie SRS ma połączyć wyniki oceny ryzyka według ISO 12100 z późniejszym projektowaniem i oceną elementów systemu sterowania związanych z bezpieczeństwem. Nie jest dodatkiem przygotowywanym po zakończeniu projektu. Jest jego punktem wyjścia.
Dla każdej funkcji trzeba określić między innymi zdarzenie inicjujące, oczekiwaną reakcję (STO, SS1, SS2, SOS lub kombinację), zamierzony stan bezpieczny, wymagany czas przejścia między stanami, tryby pracy, w których funkcja ma być aktywna, oraz sposób zachowania maszyny po wykryciu defektu lub utracie energii. Norma wskazuje również, że trzeba opisać, jak stan bezpieczny będzie utrzymywany do czasu usunięcia uszkodzenia.
Dopiero na tym etapie pytanie o PL lub SIL zaczyna mieć sens.
PLr nie opisuje tego, co funkcja ma zrobić. Określa, jak niezawodnie ma to zrobić. Im większy udział funkcji w wymaganej redukcji ryzyka, tym wyższy powinien być wymagany poziom zapewnienia bezpieczeństwa. Osiągnięty PL ma następnie spełniać lub przewyższać PLr określony dla tej konkretnej funkcji.
Wróćmy do osłony.
Zdarzeniem inicjującym może być jej otwarcie. Reakcją może być STO, jeśli dopuszczamy swobodny wybieg. Może być SS1, jeśli musimy kontrolować hamowanie, żeby nie przeciążyć mechaniki. Może być SS2, jeżeli po kontrolowanym zatrzymaniu napęd ma przejść do monitorowanego bezpiecznego postoju. Może też być potrzebne SOS, jeżeli taki postój trzeba dalej utrzymywać i monitorować.
I to jest właśnie moment, w którym projekt przestaje być „maszyna się zatrzymuje”, a zaczyna być inżynierią.
Bo „zatrzymanie” bez doprecyzowania czy to STO, SS1, SS2 czy SOS nie mówi nic o energii, dynamice ani ryzyku. A to właśnie energia i dynamika zabijają, nie status bitu w PLC.
Dopiero po takim opisaniu funkcji można odpowiedzialnie dobrać:
krańcówkę, logikę, architekturę kanałów, diagnostykę, napęd, zawór, hamulec i sposób walidacji.
Nie odwrotnie.
Sterownik nie definiuje funkcji bezpieczeństwa. To funkcja bezpieczeństwa definiuje wymagania dla sterownika i wszystkich elementów znajdujących się przed nim oraz za nim.
2. Granica funkcji bezpieczeństwa nie przebiega po krawędzi szafy sterowniczej
Na schemacie blokowym wszystko wygląda czysto: wejście, logika, wyjście. Krańcówka, safety PLC, napęd. Każdy element ma symbol, numer i deklarację zgodności.
W rzeczywistości ta linia porządku szybko się rozmywa.
Osłona nie „wysyła sygnału”. Najpierw musi coś fizycznie poruszyć — krzywkę, rolkę, trzpień. I tu zaczynają się problemy, których nie widać w diagramie. Minimalne przestawienie, zużycie rolki, luz na zawiasie, źle dobrany punkt zadziałania — i sygnał znika, mimo że osłona została otwarta.
Sterownik nadal „widzi” wszystko poprawnie.
Tylko że widzi coś, co nie odpowiada rzeczywistości.
Redundancja wejść, diagnostyka, porównywanie kanałów — to wszystko działa, ale nie naprawi złej mechaniki uruchamiania. PLC nie ma dostępu do osłony. Ma dostęp do stanu styków.
I to jest cała różnica.
EN ISO 13849-1 zaczyna analizę SRP/CS już w miejscu powstawania sygnału. Wprost wskazuje elementy takie jak krzywki czy rolki wyłączników jako część toru bezpieczeństwa. Czyli nie od zacisku w szafie, tylko od momentu, w którym fizyczne zdarzenie zamienia się w informację.
Na końcu łańcucha nie jest wcale prościej.
Wyłączenie wyjścia w PLC nie zatrzymuje maszyny. STO nie jest hamulcem. Odcięcie cewki nie oznacza, że ciśnienie zniknęło z układu pneumatycznego.
To dopiero decyzja sterowania.
Reszta dzieje się gdzie indziej: stycznik musi realnie rozłączyć tory mocy, zawór zmienić położenie, hamulec zbudować siłę, a energia — zniknąć, zostać rozproszona albo przejęta przez inny element układu.
Stan bezpieczny nie istnieje w programie. Istnieje w maszynie.
Dlatego nie da się zamknąć funkcji bezpieczeństwa zdaniem typu: „wyjście przechodzi w 0”. Trzeba opisać, co fizycznie ma się wydarzyć, jak szybko i co utrzymuje ten stan, gdy coś przestaje działać. Przy osi obciążonej grawitacją norma dopuszcza różne strategie — od zaworów zwrotnych, przez hamulce, po rozdzielenie funkcji na zatrzymanie i utrzymanie.
Ale to nie oznacza, że wszystko w maszynie staje się częścią SRP/CS.
ISO 13849 rozdziela system na wejście, logikę i wyjście. Zawory mogą być częścią podsystemu bezpieczeństwa, natomiast zwykły cylinder wykonawczy zazwyczaj pozostaje elementem napędu maszyny poza samym SRP/CS.
Zazwyczaj — bo jeśli zespół siłownika zawiera zintegrowany rygiel, blokadę albo inny element realizujący podfunkcję bezpieczeństwa, jego roli nie można po prostu wyrzucić poza analizę. I nawet zwykły cylinder może pozostawać poza SRP/CS, a mimo to jego zachowanie nadal trzeba uwzględnić przy walidacji osiągnięcia i utrzymania stanu bezpiecznego.
I to rozróżnienie często się gubi.
Pierwszy błąd: kończenie analizy na PLC. Skoro sterownik zadziałał, uznaje się, że temat jest zamknięty.
Drugi błąd: odwrotność — próba „wciągnięcia” całej mechaniki do obliczeń PL, bo „też wpływa na bezpieczeństwo”.
Oba podejścia mają wspólny problem: granica jest rysowana według działów w firmie, a nie według tego, jak faktycznie płynie zdarzenie.
Osłona, ogranicznik, konstrukcja nośna czy geometria mogą same w sobie redukować ryzyko. Nie muszą być SRP/CS, żeby działały. Norma dopuszcza takie środki jako niezależne od systemu sterowania.
Ale jeśli element mechaniczny inicjuje sygnał bezpieczeństwa, ustawia zawór w stan bezpieczny albo utrzymuje oś po zaniku energii — nie da się go „odłączyć” od analizy tylko dlatego, że nie ma elektroniki.
Nie decyduje technologia. Decyduje rola w scenariuszu awarii.
Prosty test jest bardziej użyteczny niż jakakolwiek klasyfikacja:
czy uszkodzenie tego elementu może sprawić, że nie wykryjemy zdarzenia, nie zadziała reakcja albo nie utrzyma się stan bezpieczny?
Jeśli tak — element jest częścią dowodu bezpieczeństwa, niezależnie od tego, czy jest w PLC, czy w kawałku stali.
Granica funkcji bezpieczeństwa nie biegnie po obudowie szafy. Biegnie tam, gdzie fizyczne zdarzenie zamienia się w fizyczny skutek.
3. Safety PLC z SIL 3 nie tworzy funkcji SIL 3
Na karcie katalogowej safety PLC wygląda jak najważniejszy element układu. Ma SIL 3, PL e, dwa procesory, autodiagnostykę i certyfikat zajmujący kilkanaście stron — czyli wszystko, co trzeba, żeby człowiek poczuł się bezpiecznie i przestał zadawać niewygodne pytania.
Łatwo więc wykonać prosty skrót:
skoro sterownik ma SIL 3, to funkcja też ma SIL 3.
Oczywiście. Tak samo jak skoro silnik ma 200 kW, to cały samochód też ma 200 kW. A hamulce, opony i kierowca są tylko detalem dekoracyjnym.
Nie ma.
Deklarowany poziom mówi, do czego zdolny jest dany podsystem — pod warunkiem prawidłowego zastosowania, konfiguracji i integracji. Nie przechodzi automatycznie na krańcówkę, przewody, styczniki, zawory ani program napisany przez integratora, który „tylko coś tam zmienił na szybko”.
SIL 3 nie rozchodzi się po instalacji jak napięcie 24 V. Niestety.
W typowej funkcji związanej z otwarciem osłony sterownik zajmuje miejsce pośrodku:
czujnik wykrywa zdarzenie, logika podejmuje decyzję, a element wyjściowy ma doprowadzić maszynę do stanu bezpiecznego.
W teorii wszystko wygląda jak dobrze zorganizowany łańcuch odpowiedzialności. W praktyce — jak każdy łańcuch — zrywa się w najsłabszym ogniwie, a nie w tym z certyfikatem.
Każdy z tych etapów może zadziałać albo zawieść.
Safety PLC może prawidłowo odebrać sygnał, wykonać program i wyłączyć swoje wyjścia. I wtedy wszystko wygląda dobrze — aż do momentu, gdy zawór nie zmieni położenia, stycznik nie rozłączy toru mocy albo źle skonfigurowany restart natychmiast ponownie zezwoli na ruch.
Wtedy certyfikat sterownika nadal jest ważny. Tylko funkcja już nie działa.
Sterownik zrobił dokładnie to, czego od niego zażądano.
Problem w tym, że zażądano za mało albo niewłaściwie — co w automatyce jest dość popularną metodą projektowania.
EN ISO 13849-1 definiuje podsystem jako pierwszy poziom podziału SRP/CS. Jego niebezpieczne uszkodzenie prowadzi do niebezpiecznego uszkodzenia realizowanej funkcji. Sam safety PLC jest więc najczęściej podsystemem logicznym — jednym z kilku, a nie kompletnym systemem bezpieczeństwa maszyny.
Norma pozwala przy tym łączyć podsystemy zaprojektowane i zwalidowane według różnych dokumentów. W jednej funkcji można więc zestawić elementy z EN ISO 13849-1, IEC 62061, IEC 61508 albo norm wyrobu. Nie oznacza to jednak, że najwyższy poziom jednego elementu automatycznie staje się poziomem całej funkcji.
Warto też uporządkować częsty skrót myślowy: PL e nie „sumuje się” z PL e.
Dwa komponenty o wysokiej niezawodności nie tworzą automatycznie wyższego PL — mogą go utrzymać albo obniżyć, jeśli architektura wprowadza dodatkowe punkty uszkodzeń.
Dobrze pokazuje to samo obliczenie PFH.
Jeżeli wartości PFH poszczególnych podsystemów są znane, norma każe je zsumować. Bo ryzyko nie znika tylko dlatego, że rozdzielimy je na kilka bloków.
Załóżmy więc, że funkcję tworzą trzy odrębne podsystemy połączone szeregowo:
wejście,
logika,
wyjście.
Każdy z nich ma PFH równe 8 × 10⁻⁸ na godzinę. Osobno każdy mieści się w zakresie PL e.
Po połączeniu:
8 × 10⁻⁸ + 8 × 10⁻⁸ + 8 × 10⁻⁸ = 2,4 × 10⁻⁷
I nagle okazuje się, że „PL e” nie jest stanem absolutnym, tylko przedziałem, który można łatwo opuścić przez dodanie kolejnego elementu. To już zakres PL d, nie PL e. Granice nie są sugestią — są matematyką.
Czyli nawet:
PL e + PL e + PL e nie musi dać PL e.
Nie dlatego, że norma ma zły humor. Tylko dlatego, że funkcja ma więcej miejsc, w których może dojść do niebezpiecznego uszkodzenia.
I tu pojawia się kluczowe pytanie, które często ginie między katalogami a schematami:
jak w ogóle osiągnąć PL e, jeśli funkcja składa się z wielu podsystemów i elementów?
Odpowiedź jest mniej intuicyjna niż byśmy chcieli: nie przez „dodawanie PL”, tylko przez projektowanie struktury.
W praktyce oznacza to, że:
nie każdy pojedynczy komponent wewnątrz podsystemu ma własny PL e,
podsystemy mogą być zbudowane z różnych elementów i architektur,
a sama liczba komponentów nie jest problemem sama w sobie.
Problemem jest to, czy architektura ogranicza możliwość niebezpiecznego uszkodzenia.
Dlatego w funkcjach o większej liczbie elementów PL e osiąga się nie przez wzmacnianie wszystkiego, ale przez:
redukcję punktów krytycznych (np. unikanie zbędnych szeregowych zależności),
diagnostykę i testowanie (wykrywanie uszkodzeń zanim staną się niebezpieczne),
redundancję tam, gdzie ma sens, a nie tam, gdzie „ładnie wygląda na schemacie”,
kontrolę CCF (bo dwa identyczne kanały nie są bezpieczne, jeśli psują się w ten sam sposób),
oraz spójne PFH całej funkcji, a nie „średnią z komponentów”.
Innymi słowy: PL e nie jest sumą jakości części. Jest wynikiem kontroli ryzyka w całym łańcuchu.
To samo dotyczy deklaracji SIL. Informacja „SIL 3 capable” albo „SILCL 3” określa jedynie granicę zastosowania podsystemu. Reszta układu nadal wymaga analizy, obliczeń, walidacji i — niestety — myślenia.
Trzeba uwzględnić wszystkie części, sposób połączenia, reakcję na defekty, uszkodzenia wspólną przyczyną oraz błędy systematyczne w projekcie i oprogramowaniu. Czyli wszystko to, co nie mieści się w jednym certyfikacie PDF.
Certyfikat safety PLC nie ocenia przecież:
czy krańcówka została właściwie zamontowana, czy zwarcie między kanałami zostanie wykryte, czy sprzężenie zwrotne styczników rzeczywiście działa, czy zawór ma odpowiednią diagnostykę ani czy program nie pozwala ominąć funkcji w trybie ręcznym, bo „tak było szybciej na uruchomieniu”.
Producent ocenił swoje urządzenie.
Nie naszą maszynę. Na szczęście — bo wtedy odpowiedzialność byłaby zbyt prosta.
Dlatego safety PLC z SIL 3 jest bardzo dobrym początkiem. Może być najmocniejszym i najlepiej udokumentowanym elementem całej architektury. I dokładnie dlatego tak łatwo uwierzyć, że „reszta jakoś się dopasuje”.
Ale nadal jest tylko środkiem.
O poziomie bezpieczeństwa nie decyduje najbardziej imponująca pozycja na liście komponentów ani liczba stron certyfikatu. Decyduje kompletna funkcja — razem z jej wejściem, logiką, wyjściem, integracją i zachowaniem po wystąpieniu defektu.
Certyfikat określa możliwości podsystemu. Projektant musi dopiero wykazać możliwości całej funkcji — nawet jeśli to mniej wygodne niż założenie, że „SIL 3 załatwia sprawę”.
4. Jedna funkcja bezpieczeństwa, kilka technologii
Największa przewaga EN ISO 13849-1 nie ujawnia się w tabeli z kategoriami ani w obliczeniu MTTFD.
Widać ją dopiero wtedy, gdy funkcja bezpieczeństwa opuszcza katalog producenta i trafia na rzeczywistą maszynę.
Bo w katalogu wszystko jest uporządkowane. Czujniki są osobno. Sterowniki osobno. Zawory, siłowniki, hamulce i elementy mechaniczne również.
Na maszynie te podziały przestają mieć znaczenie.
Otwarcie osłony może poruszyć mechaniczną krzywkę. Krzywka uruchamia elektromechaniczny wyłącznik położeniowy. Sygnał trafia do przekaźnika bezpieczeństwa. Przekaźnik odłącza zasilanie cewki zaworu pneumatycznego. Sprężyna przestawia suwak, ciśnienie zostaje odcięte albo uwolnione, a ruch siłownika ma się zatrzymać.
Do tego może dojść hamulec mechaniczny, jeżeli samo odcięcie energii nie wystarcza do utrzymania pozycji.
Jedna funkcja bezpieczeństwa.
Kilka technologii.
I co najmniej trzy działy, z których każdy może uznać, że jego odpowiedzialność kończy się dokładnie na granicy kompetencji w strukturze organizacyjnej.
Automatyk kończy więc analizę na wyjściu safety PLC. Pneumatyk odpowiada za zawór, ale nie za funkcję bezpieczeństwa. Mechanik montuje krzywkę i hamulec, ale przecież „to tylko mechanika”.
Maszyna nie zna tego podziału.
Nie obchodzi jej, kto projektował dany fragment i w którym folderze zapisano jego dokumentację. Jeżeli którykolwiek element nie wykona swojej roli, stan bezpieczny nie zostanie osiągnięty.
EN ISO 13849-1 została napisana właśnie z myślą o takich układach. Stosuje się ją do elementów systemów sterowania związanych z bezpieczeństwem niezależnie od rodzaju technologii i energii. Norma wymienia wprost rozwiązania elektryczne, hydrauliczne, pneumatyczne i mechaniczne.
Co więcej, system sterowania maszyny może wykorzystywać jedną technologię albo dowolną kombinację różnych technologii.
To nie jest drobny zapis dotyczący zakresu normy.
To jest odpowiedź na pytanie, dlaczego Performance Level tak dobrze przyjął się w maszynach.
Typowa funkcja bezpieczeństwa rzadko pozostaje jednorodnym układem elektronicznym. Nawet jeśli jej logikę realizuje nowoczesny safety PLC, początek funkcji może być całkowicie mechaniczny, a jej końcowa reakcja — pneumatyczna, hydrauliczna albo mechaniczna.
ISO 13849 pozwala podzielić taki tor na podsystemy i analizować ich wkład w jedną funkcję.
Nie oznacza to, że każda sprężyna, rolka i śruba otrzymuje własny PL.
PL nie jest odznaczeniem przyznawanym poszczególnym częściom za dobre zachowanie.
Ocenie podlega podsystem i ostatecznie kompletna funkcja bezpieczeństwa. Podsystem może przy tym zawierać pojedynczy komponent albo grupę elementów współpracujących ze sobą. Jego specyfikacja obejmuje rolę w funkcji oraz połączenia z pozostałymi podsystemami.
Sprężyna w zaworze nie musi więc mieć osobnej deklaracji PL e.
Jeżeli jednak to właśnie ona ma ustawić zawór w położeniu bezpiecznym po zaniku energii, trzeba rozpatrzyć, co wydarzy się, gdy:
pęknie,
utraci wymaganą siłę,
zostanie źle zamontowana,
zablokuje się wskutek zanieczyszczenia,
albo nie pokona oporów mechanicznych zaworu.
Nie dlatego, że sprężyna nagle stała się sterownikiem.
Dlatego, że jej uszkodzenie może spowodować uszkodzenie podfunkcji, a w konsekwencji całej funkcji bezpieczeństwa.
Tak samo jest z krzywką wyłącznika.
Sama krzywka nie ma ekranu, oprogramowania ani certyfikatu SIL 3. Mimo to od jej geometrii, wytrzymałości, zamocowania i odporności na przestawienie może zależeć, czy otwarcie osłony zostanie w ogóle wykryte.
Brak elektroniki nie oznacza braku wpływu na bezpieczeństwo.
Podobnie hamulec mechaniczny może być elementem podfunkcji odpowiedzialnej za utrzymanie osi pionowej. Sterownik może prawidłowo wygenerować sygnał, napęd może poprawnie wykonać STO, a oś i tak opaść, jeżeli hamulec nie zbuduje wymaganej siły.
Wtedy wszystkie komponenty elektroniczne zrobiły dokładnie to, co miały zrobić.
Funkcja bezpieczeństwa nadal zawiodła.
Norma sama pokazuje ten sposób myślenia. W przykładzie realizacji funkcji za pomocą podsystemów występuje podsystem wejściowy wykrywający obecność człowieka, podsystem logiczny w postaci przekaźnika bezpieczeństwa oraz podsystem wyjściowy zbudowany z zaworów. Dopiero za nimi znajduje się cylinder powodujący niebezpieczny ruch.
To ważny układ:
wejście → logika → sterowanie energią → reakcja maszyny
Poszczególne części nie muszą działać w tej samej technologii. Muszą natomiast wspólnie wykonać jedną funkcję.
I właśnie tego nie wolno zgubić podczas projektowania.
Nie chodzi o to, aby całą mechanikę maszyny wpisać do kalkulatora PL. Nie chodzi też o przypisywanie kategorii każdemu elementowi, który w jakikolwiek sposób wpływa na ryzyko.
Chodzi o ustalenie, które elementy rzeczywiście:
inicjują sygnał bezpieczeństwa,
przetwarzają ten sygnał,
sterują energią,
wykonują podfunkcję bezpieczeństwa,
albo odpowiadają za utrzymanie stanu bezpiecznego.
Dopiero później można zdecydować, jak podzielić funkcję na podsystemy, jakie defekty rozpatrzyć i jak wykazać osiągnięty poziom.
Nie oznacza to, że pojawienie się pneumatyki lub mechaniki automatycznie wyklucza zastosowanie IEC 62061. Oznacza natomiast, że EN ISO 13849-1 od początku daje naturalny model dla funkcji, która przechodzi przez kilka technologii — bez sztucznego kończenia analizy w miejscu, w którym przewód elektryczny dochodzi do cewki zaworu.
I to jest jej największa praktyczna zaleta.
Nie prostszy wykres.
Nie bardziej znane kategorie.
Nie popularność programu do obliczeń.
Tylko możliwość potraktowania kompletnego toru bezpieczeństwa jako jednej funkcji — również wtedy, gdy połowa jej elementów nie ma zasilania, oprogramowania ani efektownego certyfikatu.
Maszyna nie dzieli funkcji bezpieczeństwa na automatykę, pneumatykę i mechanikę. Ten podział istnieje wyłącznie w naszych projektach i strukturach organizacyjnych.
5. ISO 13849 pracuje na danych, które naprawdę istnieją
W teorii wybór między PL a SIL wygląda jak elegancka decyzja metodologiczna, najlepiej podejmowana przy kawie i tablicy pełnej równań.
W praktyce bardzo często rozstrzygają go dane.
Albo — co częstsze — ich brak, który trzeba jakoś „ładnie” zamienić na liczby.
Safety PLC przychodzi z kompletem informacji: PL, SIL, PFH, kategorią zastosowania, ograniczeniami, czasem reakcji i instrukcją integracji. Napęd z STO zwykle również. Można otworzyć dokumentację, przepisać właściwą wartość i przejść dalej, najlepiej z poczuciem dobrze wykonanej pracy.
Tylko że typowa funkcja bezpieczeństwa nie składa się wyłącznie z urządzeń, które przeszły przez dział functional safety i wróciły z certyfikatem w złotej ramce.
W torze pojawiają się również:
krańcówki,
styczniki,
zawory pneumatyczne i hydrauliczne,
przekaźniki,
hamulce,
elementy mechaniczne podlegające zużyciu.
I nagle deklaracja „SIL 3 capable” znika, a na jej miejscu pojawia się B10D, dopuszczalna liczba cykli, warunki obciążenia albo — w wersji minimalistycznej — informacja, że komponent spełnia „właściwą normę wyrobu”, co w praktyce oznacza: „proszę się nie martwić, ale też nie pytać o szczegóły”.
Czasami nie ma nawet tego.
Nie oznacza to automatycznie, że elementu nie można wykorzystać w funkcji bezpieczeństwa. Oznacza jedynie, że dowód trzeba zbudować inaczej niż przez przepisanie poziomu z pierwszej strony certyfikatu i uznanie sprawy za zamkniętą.
I właśnie tutaj EN ISO 13849-1 okazuje się wyjątkowo praktyczna — w tym nieco niewdzięcznym sensie, że zmusza do myślenia.
Jeżeli producent dostarcza dla podsystemu PL lub SIL oraz wartość PFH, norma pozwala wykorzystać te dane bez ponownego wyznaczania MTTFD, pokrycia diagnostycznego, CCF czy parametrów oprogramowania wbudowanego. Gotowy podsystem można potraktować jak zwalidowany blok, o ile zostanie użyty zgodnie z określonymi warunkami.
Czyli tam, gdzie dokumentacja jest kompletna, ISO 13849 nie próbuje jej „ulepszać” na siłę.
Ale też nie zakłada, że cały świat automatyki składa się wyłącznie z urządzeń, które przyszły z pełnym pakietem PL e i uśmiechem producenta.
Dla elementów podlegających zużyciu mechanicznemu norma posługuje się między innymi parametrem B10D. Jest to liczba cykli, po której 10% badanych komponentów ulega niebezpiecznemu uszkodzeniu.
To bardzo „maszynowy” sposób patrzenia na niezawodność — bez romantyzmu, za to z licznikiem kliknięć.
Stycznik nie starzeje się dlatego, że minęło pięć lat i „tak już ma”. Starzeje się, bo ktoś go przełączył wystarczająco dużo razy. Podobnie zawór, wyłącznik położeniowy czy mechanizm ryglujący.
Dlatego samo B10D jeszcze niczego nie zamyka.
Trzeba wiedzieć, ile operacji element wykona w rzeczywistym zastosowaniu — czyli w świecie, w którym maszyna nie czyta katalogu, tylko pracuje.
Zawór przełączany pięć razy na zmianę i identyczny zawór przełączany co dwie sekundy mają tę samą nazwę katalogową.
Nie mają natomiast tej samej niezawodności w konkretnej maszynie — choć katalog oczywiście nie widzi powodu, żeby się tym przejmować.
EN ISO 13849-1 łączy więc B10D ze średnią roczną liczbą operacji nop. Na tej podstawie można wyznaczyć MTTFD elementu. Norma wymaga również, aby producent określił niebezpieczne rodzaje uszkodzeń — na przykład zakleszczenie w położeniu końcowym albo wydłużenie czasu przełączania.
To istotne, bo sama liczba cykli bez informacji o tym, co właściwie uznano za „niebezpieczne uszkodzenie”, jest tylko imponująco wyglądającą metryką, idealną do prezentacji marketingowych.
Można mieć zawór, który nadal się porusza, ale robi to zbyt wolno, aby funkcja osiągnęła stan bezpieczny w wymaganym czasie.
Można mieć stycznik, który formalnie nie przekroczył B10D, ale pracował w warunkach, które producent wolałby zobaczyć tylko w przypisach.
Można mieć krańcówkę o świetnej trwałości elektrycznej i zużyty mechanizm uruchamiający, który „z jakiegoś powodu” przestał reagować na ruch osłony — co oczywiście nie jest usterką, tylko „zmianą charakterystyki pracy”.
Katalog nie zastępuje analizy zastosowania. I na szczęście nawet nie udaje, że mógłby.
Załącznik C normy idzie jeszcze dalej. Podaje metody i typowe wartości dla elementów mechanicznych, hydraulicznych, pneumatycznych oraz elektromechanicznych. Obejmuje między innymi zawory, przekaźniki, styczniki i wyłączniki. Wartości te nie są jednak rozdawane za sam fakt posiadania części w magazynie — choć czasem można odnieść takie wrażenie, patrząc na niektóre uproszczone podejścia.
Ich użycie zależy od spełnienia warunków dotyczących norm wyrobu, zasad bezpieczeństwa, przeznaczenia i warunków pracy określonych przez producenta.
To ważne rozróżnienie.
ISO 13849 daje dane domyślne i uproszczone ścieżki.
Nie daje natomiast prawa do kreatywnej interpretacji fizyki.
Jeżeli warunki zastosowania nie są spełnione, wartość powinna pochodzić od producenta albo zostać uzasadniona inną właściwą metodą. To, że w tabeli znaleźliśmy 20 milionów cykli dla określonej grupy elementów pneumatycznych, nie oznacza jeszcze, że każdy zawór w każdej aplikacji ma właśnie takie B10D — choć byłoby to bardzo wygodne.
Sama norma zresztą uprzejmie przypomina, że dla niektórych typów i zastosowań — na przykład zaworów odcinających — wartość może być wyraźnie niższa. Czyli: „tak, ale niekoniecznie u Ciebie”.
Czyli tabela jest początkiem uzasadnienia.
Nie jego końcem, choć wiele projektów bardzo chciałoby, żeby było odwrotnie.
Podobnie działa podejście do komponentów sprawdzonych oraz podstawowych i sprawdzonych zasad bezpieczeństwa.
Norma nie pyta wyłącznie:
„Jaki certyfikat ma ten element?”
Pyta również — trochę mniej wygodnie:
czy jego rodzaje uszkodzeń są znane,
czy został prawidłowo dobrany i przewymiarowany,
czy zastosowano właściwe materiały,
czy zachowanie po wystąpieniu defektu jest przewidywalne,
czy konstrukcja zapobiega krytycznym skutkom pojedynczego uszkodzenia,
czy defekt zostanie wykryty,
czy dwa kanały mogą zostać uszkodzone z tej samej przyczyny (bo natura ma poczucie humoru).
Ocena PL obejmuje więc zarówno aspekty ilościowe — MTTFD, DC, CCF i architekturę — jak i jakościowe: zachowanie funkcji po uszkodzeniu, błędy systematyczne, warunki środowiskowe, oprogramowanie, zastosowanie sprawdzonych zasad oraz wyłączenia defektów.
I to jest kolejny powód, dla którego metoda dobrze pasuje do maszyn.
Nie wszystko da się — na szczęście i nieszczęście — opisać jedną wartością PFH, która rozwiązuje wszystkie problemy świata.
Jaką liczbę przypisać poprawności mocowania krzywki?
Jak wyrazić prawdopodobieństwo błędnego montażu sprężyny, który „na oko wyglądał dobrze”?
Jak wycenić wpływ zabrudzenia zaworu, niewłaściwego prowadzenia przewodu albo obejścia blokady przez operatora, który „tylko na chwilę”?
Część tych problemów można policzyć.
Część trzeba rozwiązać konstrukcyjnie, organizacyjnie i poprzez walidację — czyli metodami mniej eleganckimi, ale za to działającymi w rzeczywistości.
ISO 13849 nie udaje, że liczba rozwiązuje wszystko. Łączy obliczenia z wymaganym zachowaniem architektury i oceną konkretnych defektów.
Dotyczy to również wyłączenia defektu.
Wyłączenie defektu bywa traktowane jak techniczna wersja zdania:
„to się przecież nie zepsuje”.
Norma podchodzi do tego nieco mniej optymistycznie — i zdecydowanie mniej ufnie.
Projektant musi wskazać konkretny rodzaj defektu, wyjaśnić, dlaczego jego wystąpienie jest pomijalnie mało prawdopodobne, oraz oprzeć uzasadnienie na warunkach konstrukcji, zastosowania i znanych prawach fizyki. Nie wystarczy ogólne stwierdzenie, że element nie pęknie, nie odkształci się ani nie zużyje „bo jest solidny”.
Trzeba wskazać, przy jakich obciążeniach, w jakim kierunku i w jakich warunkach takie uszkodzenie zostało wykluczone — czyli dokładnie tam, gdzie zaczyna się prawdziwa inżynieria, a kończy marketing.
Innymi słowy:
wyłączenie defektu nie jest brakiem analizy. Jest jednym z jej najbardziej wymagających wyników.
To wszystko sprawia, że projektant nie musi wybierać między dwiema skrajnościami:
gotowy komponent z pełną deklaracją PL lub SIL,
albo element, którego „nie da się” włączyć do funkcji bezpieczeństwa, bo nie ma ładnej tabelki.
Może wykorzystać różne poziomy informacji:
gotowe PL, SIL i PFH dla zwalidowanego podsystemu;
B10D i liczbę operacji dla elementów podlegających zużyciu;
MTTFD dostarczone przez producenta;
wartości i metody wynikające z właściwych norm wyrobu;
sprawdzone zasady bezpieczeństwa i sprawdzone komponenty;
architekturę, diagnostykę oraz środki przeciw CCF;
uzasadnione i udokumentowane wyłączenia konkretnych defektów.
Nie każda droga pasuje do każdego elementu.
Ale — co może być zaskakujące — jest więcej niż jedna droga.
I to właśnie ma znaczenie w maszynie, w której obok certyfikowanego safety PLC pracuje zwykły stycznik, zawór, rolka, sprężyna i mechanizm hamulca, który „zawsze działał, więc pewnie dalej będzie”.
ISO 13849 nie jest praktyczna dlatego, że wymaga mniej dowodów. Jest praktyczna dlatego, że pozwala zbudować dowód z danych, które rzeczywiście występują w technice maszynowej — a nie tylko w folderach marketingowych.
Certyfikat nadal jest najlepszym scenariuszem.
Po prostu norma dość trzeźwo zakłada, że rzeczywista maszyna bardzo rzadko składa się wyłącznie z najlepszych scenariuszy.
6. IEC 62061 nie jest tylko dla elektryki, ale to nie znaczy, że problem zniknął
Przez lata odpowiedź była prosta:
ISO 13849 stosujemy do całej maszyny, a IEC 62061 do elektryki i programowalnej elektroniki.
Pneumatyka zaczynała się więc mniej więcej w miejscu, w którym SIL uprzejmie wysiadał z projektu.
To zdanie było przez długi czas trafne.
Dziś jest już nieaktualne.
Mimo to nadal funkcjonuje w prezentacjach szkoleniowych, artykułach i materiałach technicznych — często obok przykładów i schematów opartych na starszych wydaniach norm.
W starszym podejściu IEC 62061 rzeczywiście miała wyraźnie zawężony zakres. Dotyczyła systemów elektrycznych, elektronicznych i programowalnych elektronicznych związanych z bezpieczeństwem, a technologie nieelektryczne — takie jak hydraulika czy pneumatyka — były poza jej bezpośrednim obszarem.
W praktyce oznaczało to, że w funkcjach mieszanych:
krańcówka → przekaźnik bezpieczeństwa → zawór pneumatyczny → siłownik
ocena według IEC 62061 obejmowała przede wszystkim część elektryczną, a docelowych wartości uszkodzeń urządzeń nieelektrycznych nie włączano do tej samej metody obliczeniowej.
Zawór miał zadziałać.
Norma nie opisywała szczegółowo, jak często może nie zadziałać.
Stąd historyczny podział był prosty:
elektronika i sterowanie programowalne → IEC 62061
pneumatyka, hydraulika, mechanika → ISO 13849
funkcje mieszane → w praktyce najczęściej ISO 13849
Wynikało to zarówno z formalnego zakresu ówczesnego wydania IEC 62061, jak i z tego, gdzie dostępne były dane i metody ich użycia.
Typowa maszyna nigdy nie była czystym systemem PLC — była układem mieszanym, w którym różne technologie współpracują w jednej funkcji bezpieczeństwa.
W 2021 roku IEC 62061 została zaktualizowana i jej zakres został rozszerzony. Zniknęło zawężenie do systemów wyłącznie elektrycznych i elektronicznych, a norma zaczęła obejmować również technologie nieelektryczne w kontekście funkcji bezpieczeństwa.
To istotna zmiana formalna.
Oznacza ona, że nie jest już poprawne stwierdzenie:
IEC 62061 nie ma zastosowania, jeśli w funkcji występuje pneumatyka lub element mechaniczny.
Ma zastosowanie.
Funkcja bezpieczeństwa może obejmować podsystemy nieelektryczne, a ich obecność nie wyklucza analizy w ramach SIL.
Krańcówka mechaniczna nie wyklucza funkcji SIL.
Zawór pneumatyczny nie unieważnia obliczeń.
Hamulec mechaniczny nie tworzy osobnej „strefy poza normą”.
Problem nigdy nie polegał na samym istnieniu elementów mechanicznych, tylko na tym, jak ich zachowanie włącza się do modelu funkcji bezpieczeństwa.
Wydanie IEC 62061 z 2021 roku formalnie przesunęło tę granicę.
Ale zmiana zakresu normy nie rozwiązuje automatycznie problemu inżynierskiego.
Nie powoduje, że producenci komponentów nieelektrycznych nagle dostarczają kompletne dane niezawodnościowe w takim samym formacie jak elektronika.
Nie sprawia też, że sprężyna, uszczelnienie czy prowadnica „stają się” elementami o zdefiniowanym SIL.
Sam pojedynczy komponent nie „dziedziczy” SIL całej funkcji. SIL określa wymaganie dla funkcji bezpieczeństwa, a dla podsystemu można określić granicę jego zastosowania, np. SILCL.
To ważna różnica, bo sprężyna, uszczelnienie czy suwak zaworu są elementami dowodu dla podsystemu — nie osobnymi funkcjami z własnym SIL.
Dlatego samo stwierdzenie:
„zawór jest pneumatyczny i ma sprężynę powrotną”
nie jest jeszcze modelem niezawodności.
Podobnie mechanicznie uruchamiana krańcówka może być elementem funkcji ocenianej według IEC 62061, ale nadal trzeba odpowiedzieć na pytania o:
sposób wymuszenia przełączenia,
możliwe tryby uszkodzeń,
wpływ zużycia i rozregulowania,
warunki montażu i eksploatacji,
oraz ich wpływ na zachowanie całej funkcji.
Norma może rozszerzyć zakres.
Nie może zastąpić analizy zachowania źle dobranego lub zużytego elementu.
Jak IEC 62061 „radzi sobie” z pneumatyką w praktyce
Najprościej widać to na przykładzie tej samej funkcji, ale już w pełnym łańcuchu:
E‑STOP → PLC bezpieczeństwa → zawór 5/2 → siłownik → ruch niebezpieczny
W podejściu IEC 62061 nie analizujemy „pneumatyki jako całości”, tylko podsystem wykonawczy.
Czyli zawór + jego elementy pomocnicze (np. sprężyna powrotna, pilot, ewentualna redundancja).
Dla takiego podsystemu trzeba odpowiedzieć na pytanie:
czy jego uszkodzenia mogą doprowadzić do utraty funkcji bezpieczeństwa i z jaką częstością?
I tu pojawia się kluczowy mechanizm IEC 62061:
jeśli producent dostarcza zwalidowane dane podsystemu, np. PFH i ograniczenia zastosowania → można je wykorzystać w obliczeniach SIL,
jeśli nie → trzeba budować model z danych pośrednich (np. testy, założenia konserwacyjne, architektura, diagnostyka),
jeśli brak danych i brak uzasadnienia → podsystem nie jest „SIL-ready” i ogranicza cały łańcuch.
Czyli IEC 62061 nie „ignoruje” pneumatyki.
Ona ją wciąga do modelu funkcji — ale ten model trzeba jeszcze wiarygodnie zbudować.
Przykład praktyczny:
Zawór pneumatyczny w funkcji zatrzymania może mieć tryb uszkodzenia:
zacięcie w pozycji otwartej (najgroźniejsze),
zacięcie w pozycji zamkniętej,
nieszczelność wewnętrzna,
spadek siły sprężyny powrotnej.
IEC 62061 nie wymaga, żeby każdy z tych trybów był „idealnie znany”.
Wymaga natomiast, żeby:
dało się oszacować ich wpływ na PFH funkcji,
uwzględnić diagnostykę (np. testy zaworu),
oraz architekturę (np. redundancję zaworów lub monitorowanie ciśnienia).
W praktyce oznacza to, że pneumatyka nie jest „poza normą”, tylko:
jest podsystemem, który musi zostać sprowadzony do modelu niezawodnościowego funkcji bezpieczeństwa.
I to jest dokładnie miejsce, w którym zaczyna się trudność.
Bo o ile elektronika często ma gotowe dane FIT, o tyle zawór:
zużywa się mechanicznie,
zmienia charakterystykę z czasem,
zależy od jakości powietrza,
i potrafi „działać”, ale nie „działać bezpiecznie”.
Dlatego IEC TS 63394:2023 uzupełnia podejście IEC 62061 o bardziej realistyczne modele dla technologii mechanicznych, pneumatycznych i hydraulicznych, wskazując, że nie zawsze da się je sprowadzić do prostych modeli wykładniczych stosowanych w elektronice.
To ważne nie dlatego, że IEC 62061 „nie radzi sobie” z pneumatyką.
Tylko dlatego, że zachowanie elementów mechanicznych i pneumatycznych nie zawsze da się opisać tymi samymi uproszczeniami co elektronikę.
Elektronika często może być modelowana stałą intensywnością uszkodzeń.
Element mechaniczny się zużywa.
Zmienia swoje zachowanie w czasie, zależnie od cykli pracy, warunków środowiskowych, smarowania, zabrudzenia i montażu.
I to nie są czynniki dodatkowe — to część modelu niezawodności.
W tym miejscu widać, dlaczego ISO 13849 przez lata była tak naturalnym wyborem dla funkcji mieszanych.
Nie chodzi o formalny zakres normy.
Obie normy mogą obejmować systemy wielotechnologiczne.
Różnica polega na tym, jak łatwo przejść od danych komponentu do dowodu spełnienia funkcji bezpieczeństwa.
ISO 13849 od dawna operuje danymi takimi jak:
B10D,
liczba cykli,
MTTFD,
kategorie architektury,
sprawdzone zasady bezpieczeństwa,
sprawdzone komponenty,
oraz typowe tryby uszkodzeń dla różnych technologii.
Dzięki temu zawór, stycznik, krańcówka i hamulec mogą być opisane w jednym spójnym modelu funkcji, bez konieczności upraszczania ich do wspólnego mianownika elektroniki.
IEC 62061 przestała być normą wyłącznie „elektryczną”.
Ale to nie oznacza, że przemysł automatycznie zmienił sposób projektowania funkcji bezpieczeństwa.
Normy można zaktualizować.
Praktyki projektowe, dane producentów i narzędzia inżynierskie zmieniają się znacznie wolniej.
Przez lata funkcje mieszane były naturalnym obszarem ISO 13849, co doprowadziło do powstania:
bibliotek komponentów,
kalkulatorów,
procedur walidacji,
dokumentacji producentów,
szkoleń,
typowych architektur,
oraz skrótu myślowego: „maszyna = PL”.
Nie wszystkie te nawyki są idealne, ale wszystkie są realne.
Dlatego rozszerzenie IEC 62061 na technologie nieelektryczne nie unieważnia głównej obserwacji.
Zmienia jedynie jej uzasadnienie.
Nie można już powiedzieć:
ISO 13849 jest częściej stosowana, ponieważ tylko ona pozwala łączyć różne technologie.
Można natomiast powiedzieć:
ISO 13849 jest częściej stosowana, ponieważ od lat dostarcza spójny sposób budowania funkcji bezpieczeństwa z elementów różnych technologii wraz z praktycznymi metodami wykorzystania danych, które dla tych elementów są dostępne.
Różnica jest istotna.
Pierwsze stwierdzenie nie jest już prawdziwe.
Drugie lepiej opisuje rzeczywistość projektowania maszyn.
IEC 62061 może obejmować funkcję z zaworem pneumatycznym.
Ale między możliwością zastosowania normy a kompletnym dowodem bezpieczeństwa nadal pozostaje cała inżynieria.
A ta — jak zwykle — nie wynika wyłącznie z zakresu normy.
Pneumatyka nie wyklucza już SIL. Ale nadal skutecznie wyklucza złudzenie, że wystarczy policzyć elektronikę i uznać funkcję za zakończoną.
7. Komponent z SIL nie zmusza całej funkcji do przejścia na SIL
Do szafy trafia safety PLC z deklaracją SIL 3.
Napęd ma STO o SIL 3.
Kurtyna również ma SIL 3.
W tym momencie zwykle pojawia się logiczny wniosek:
skoro wszystkie ważne komponenty mają SIL, całą funkcję trzeba zaprojektować według IEC 62061.
Nie trzeba.
Certyfikat podsystemu określa jego możliwości.
Nie wybiera za projektanta metody oceny całej funkcji bezpieczeństwa.
EN ISO 13849-1 pozwala realizować funkcję za pomocą podsystemów wcześniej zwalidowanych zgodnie z:
EN ISO 13849-1,
IEC 62061,
serią IEC 61508,
odpowiednimi normami wyrobu,
albo kombinacją tych rozwiązań.
Oznacza to, że funkcja oceniana ostatecznie w języku PL może zawierać:
kurtynę z deklarowanym SILCL 3,
safety PLC z SIL 3,
napęd z funkcją STO o SIL 3,
stycznik opisany za pomocą B10D,
zawór pneumatyczny oceniony według zasad EN ISO 13849-1.
I nie ma w tym żadnej normatywnej schizofrenii.
Podsystemy nie muszą posługiwać się tym samym skrótem.
Muszą natomiast dostarczać dane, które pozwalają wykazać niezawodność kompletnej funkcji.
Jeżeli producent podał dla podsystemu SIL i PFH, EN ISO 13849-1 pozwala wykorzystać te informacje w ocenie funkcji. Nie trzeba ponownie rozbierać certyfikowanego safety PLC na procesory, pamięci, zasilacze i wewnętrzną diagnostykę tylko po to, aby nadać każdemu elementowi własne MTTFD.
Podsystem może zostać potraktowany jako zwalidowany blok.
Ale blok nadal trzeba prawidłowo wstawić do układu.
Bo certyfikat nie wie:
jakie sygnały zostaną podłączone do wejść,
jaki program napisze integrator,
jakie czasy zostaną skonfigurowane,
czy wyjścia będą właściwie monitorowane,
co wydarzy się po wykryciu defektu,
oraz czy podsystem będzie pracował w warunkach dopuszczonych przez producenta.
Można więc wykorzystać safety PLC z SIL 3 w funkcji ocenianej jako PL d.
Nie oznacza to zmarnowania potencjału sterownika.
Oznacza tylko, że cała funkcja nie jest automatycznie tak dobra jak jej najlepiej udokumentowany fragment.
PL i SIL spotykają się przy PFH
EN ISO 13849-1 zawiera korelację między PL i SIL dla pracy na częste przywołanie lub pracy ciągłej:
PL b koreluje z SIL 1,
PL c koreluje z SIL 1,
PL d koreluje z SIL 2,
PL e koreluje z SIL 3,
PL a nie ma korelacji w skali SIL.
Na pierwszy rzut oka wygląda to jak prosty przelicznik.
PL d zamieniamy na SIL 2.
PL e na SIL 3.
Kilka komórek w Excelu i można wracać do projektowania.
Tylko że ta tabela nie mówi:
PL d jest tym samym co SIL 2.
Mówi jedynie, że poziomy znajdują się w odpowiadających sobie przedziałach średniej częstotliwości niebezpiecznego uszkodzenia na godzinę.
PL i SIL spotykają się więc przy PFH.
Nie stają się jednak przez to tą samą metodą projektową.
To trochę jak dwie drogi prowadzące do tego samego punktu na mapie.
Fakt, że kończą się w tej samej miejscowości, nie oznacza, że po drodze występują te same skrzyżowania, ograniczenia i dziury w asfalcie.
EN ISO 13849-1 ocenia między innymi:
kategorię,
MTTFD,
pokrycie diagnostyczne,
CCF,
zachowanie architektury po wystąpieniu defektu,
sprawdzone zasady bezpieczeństwa,
oprogramowanie,
błędy systematyczne.
IEC 62061 wykorzystuje własne wymagania dotyczące ograniczeń architektury, tolerancji defektów, nienaruszalności systematycznej, procesu projektowego i oprogramowania.
Wynik probabilistyczny może mieścić się w tym samym przedziale.
Droga do jego wykazania nie musi być identyczna.
Dlatego zdanie:
PL d jest równe SIL 2
jest wygodne, ale technicznie zbyt szerokie.
Precyzyjniej należałoby powiedzieć:
PL d koreluje z przedziałem PFH właściwym dla SIL 2 w trybie częstego przywołania lub pracy ciągłej.
Brzmi gorzej na slajdzie.
Za to znacznie lepiej znosi kontakt z normą.
Sama EN ISO 13849-1 wskazuje, że wartości PFH są traktowane zgodnie z IEC 62061:2021 i serią IEC 61508. Jednocześnie wymaga, aby osiągnięty PL kompletnej funkcji spełniał lub przewyższał PLr ustalony dla tej funkcji.
Czyli można wykorzystać dane SIL.
Nie można pominąć oceny całego toru.
Podsystem z SIL nie potrzebuje wymyślonej kategorii
W praktyce integratorzy czasem próbują zrobić jeszcze jeden krok.
Skoro safety PLC ma SIL 3, to zapewne „odpowiada kategorii 4”.
Skoro napęd ma SIL 2, to może jest „mniej więcej kategorią 3”.
Takie tłumaczenie jest kuszące.
I zwykle niepotrzebne.
EN ISO 13849-1 wskazuje wprost, że w przypadku podsystemu zwalidowanego zgodnie z IEC 62061 albo IEC 61508 nie zawsze da się wyznaczyć kategorię — i nie jest to wymagane.
To ważne.
Kategoria nie jest inną nazwą SIL.
Kategoria opisuje określoną strukturę podsystemu i jego zachowanie w warunkach defektu.
Certyfikowany sterownik może wewnętrznie realizować własną architekturę, której integrator:
nie zna,
nie musi znać,
i zwykle nie ma prawa analizować na podstawie kilku zdjęć płytki drukowanej znalezionych w internecie.
Dla projektanta jest on zwalidowanym podsystemem o określonych:
wejściach i wyjściach,
PFH,
maksymalnej zdolności SIL lub PL,
czasach reakcji,
warunkach stosowania,
ograniczeniach integracji.
Nie trzeba udowadniać, że w środku „na pewno jest kategoria 4”.
Trzeba udowodnić, że urządzenie zostało użyte zgodnie z warunkami, dla których producent wykazał jego bezpieczeństwo.
To znacznie mniej efektowne niż rysowanie dwóch kanałów w raporcie.
Ale bardziej użyteczne.
Certyfikowany blok nadal ma swoje granice
Możliwość potraktowania podsystemu jako zwalidowanego bloku nie oznacza, że można wykorzystać wyłącznie pierwszą stronę jego karty katalogowej.
Deklarowane SIL 3 może obowiązywać tylko:
dla określonej architektury połączeń,
przy zastosowaniu wskazanych testów okresowych,
dla określonego czasu misji,
przy zachowaniu wymaganej częstotliwości diagnostyki,
po zastosowaniu konkretnych środków przeciw CCF,
w określonych warunkach środowiskowych,
oraz dla wskazanych funkcji i parametrów.
Napęd może mieć STO o SIL 3.
Ale nie oznacza to, że każda funkcja wykorzystująca ten napęd osiąga SIL 3.
Jeżeli do zatrzymania osi potrzebne jest SS1, a projektant wykorzysta wyłącznie STO, problemem nie będzie niezawodność napędu.
Problemem będzie wybranie niewłaściwej reakcji.
Safety PLC może mieć SIL 3.
Jeżeli jednak w programie podczas trybu ustawczego blokada zostanie zastąpiona zwykłym bitem z panelu HMI, certyfikat procesora nadal pozostanie ważny.
Funkcja bezpieczeństwa — trochę mniej.
Kurtyna może mieć SILCL 3.
Jeżeli zostanie ustawiona zbyt blisko strefy niebezpiecznej, nadal prawidłowo wykryje człowieka.
Po prostu maszyna zatrzyma się po jego dotarciu do zagrożenia.
Każdy podsystem może działać zgodnie ze swoją dokumentacją.
Cała funkcja nadal może być źle zaprojektowana.
Łączenie podsystemów nie jest konkursem certyfikatów
Załóżmy, że funkcję blokowania osłony tworzą:
wyłącznik położeniowy oceniony jako PL d,
safety PLC o SIL 3,
napęd z funkcją STO o SIL 3.
Najwyższy poziom na liście komponentów to SIL 3.
Najniższa zdolność podsystemu wejściowego odpowiada PL d.
Kompletna funkcja nie stanie się więc PL e tylko dlatego, że dwa pozostałe urządzenia mają bardziej imponujące certyfikaty.
EN ISO 13849-1 wymaga, aby przy łączeniu podsystemów o znanych wartościach PFH uwzględnić sumę tych wartości. Poziom kompletnej funkcji jest ograniczany zarówno przez najsłabszy podsystem, jak i przez wynikający z sumy PFH poziom całego SRP/CS.
Nie wybieramy więc najlepszego wyniku.
Nie liczymy średniej.
Nie przeprowadzamy głosowania większościowego między certyfikatami.
Funkcja jest tak mocna, jak pozwala jej najsłabszy podsystem i łączna częstość niebezpiecznych uszkodzeń.
To może prowadzić do sytuacji, w której:
logika ma SIL 3,
wyjście ma SIL 3,
wejście ma PL d,
a kompletna funkcja zostaje wykazana jako PL d.
To nie jest błąd.
To jest prawidłowy wynik.
Błędem byłoby przypisanie całej funkcji SIL 3 tylko dlatego, że taką wartość ma najdroższy element w szafie.
Dlaczego końcowym językiem tak często pozostaje PL
I tu wracamy do pytania z tytułu artykułu.
W nowoczesnej maszynie może znajdować się wiele komponentów z deklarowanym SIL:
safety PLC,
napędy,
kurtyny,
skanery,
moduły wejść i wyjść,
enkodery,
sieci bezpieczeństwa.
Mimo to końcowa dokumentacja funkcji często opiera się na PL według EN ISO 13849-1.
Nie dlatego, że certyfikaty SIL zostały zignorowane.
Właśnie przeciwnie.
Zostały wykorzystane jako dane zwalidowanych podsystemów w szerszym modelu, który obejmuje również te elementy, dla których producent dostarczył:
PL,
B10D,
MTTFD,
dane dotyczące kategorii,
albo informacje pozwalające przeprowadzić własną ocenę.
To duża zaleta ISO 13849.
Nie wymaga, aby wszystkie elementy funkcji mówiły od początku tym samym językiem.
Pozwala zebrać je w jednym dowodzie.
Warunek jest tylko jeden:
dane muszą być porównywalne, ograniczenia zachowane, a funkcja oceniona jako całość.
Czyli można połączyć podsystem z SIL 3, zawór opisany przez B10D i wyłącznik o PL d.
Nie można natomiast połączyć trzech certyfikatów, kilku założeń i jednego życzenia, a następnie nazwać wyniku PL e.
PL i SIL mogą pracować w jednej funkcji. Nie oznacza to jednak, że można dowolnie przeliczać skróty, przepisywać poziomy i pomijać warunki zastosowania.
Komponent z SIL 3 nie narzuca całemu projektowi IEC 62061.
Narzuca coś znacznie bardziej konkretnego:
trzeba użyć go dokładnie w taki sposób, dla którego producent wykazał jego zdolność do realizacji funkcji bezpieczeństwa.
A później nadal trzeba udowodnić, że reszta maszyny nadąża za jego certyfikatem.
8. Kierunek rozwoju ISO 12100 a rola funkcji bezpieczeństwa w procesie projektowym
W wielu ocenach ryzyka proces kończy się mniej więcej tak:
Środek redukcji ryzyka: zastosować osłonę z blokadą.
Brzmi technicznie.
Jest zgodne z hierarchią środków ochronnych.
Ładnie wygląda w tabeli.
I właściwie niczego jeszcze nie projektuje.
Bo „osłona z blokadą” nie mówi:
co dokładnie ma wykryć układ,
które ruchy mają zostać zatrzymane,
czy zatrzymanie ma być natychmiastowe, czy kontrolowane,
ile czasu maszyna może potrzebować na osiągnięcie stanu bezpiecznego,
co stanie się z energią pneumatyczną, hydrauliczną lub potencjalną,
ani kiedy ponowne uruchomienie będzie dopuszczalne.
To nie jest jeszcze funkcja bezpieczeństwa.
To informacja, że jakaś funkcja będzie potrzebna.
Różnica jest mniej więcej taka jak między zdaniem:
„należy wybudować most”
a projektem, który wyjaśnia, gdzie most ma się zaczynać, co ma przenosić i dlaczego nie powinien zakończyć pracy po pierwszej ciężarówce.
Ocena ryzyka według ISO 12100 wskazuje, że określone ryzyko wymaga dalszego zmniejszenia. Jeżeli redukcja ma zależeć od działania systemu sterowania, do procesu wchodzi funkcja bezpieczeństwa oraz odpowiedzialne za nią elementy systemu sterowania.
Aktualna EN ISO 13849-1:2023 pokazuje to już bardzo wyraźnie. Norma umieszcza projektowanie SRP/CS bezpośrednio w drugim kroku iteracyjnego procesu redukcji ryzyka według ISO 12100 — tam, gdzie stosujemy osłony, urządzenia ochronne i uzupełniające środki ochronne. Jeżeli redukcja ryzyka zależy od funkcji bezpieczeństwa realizowanej przez system sterowania, ISO 13849 staje się częścią tego samego procesu, a nie niezależnym obliczeniem wykonywanym po zakończeniu oceny ryzyka.
To ważne, bo w praktyce oba zadania często trafiają do różnych osób.
Specjalista od bezpieczeństwa przygotowuje ocenę ryzyka.
Konstruktor projektuje osłonę.
Automatyk dostaje informację:
„po otwarciu ma się zatrzymać”.
A później wszyscy są nieco zaskoczeni, że każda z tych osób inaczej rozumiała słowo „zatrzymać”.
Dla jednej oznaczało ono wyłączenie wyjścia PLC.
Dla drugiej odcięcie momentu napędu.
Dla trzeciej całkowite usunięcie energii.
Dla maszyny natomiast mogło oznaczać jeszcze kilka metrów wybiegu, opadanie osi albo pozostawienie ciśnienia w siłowniku.
Właśnie dlatego EN ISO 13849-1 wprowadza SRS jako formalne przejście między oceną i redukcją ryzyka według ISO 12100 a projektowaniem i oceną SRP/CS.
Norma określa SRS jako podstawę wszystkich działań projektowych dotyczących elementów systemu sterowania związanych z bezpieczeństwem. Ma ona przenieść wyniki oceny ryzyka do projektu funkcji — szczególnie wtedy, gdy oba procesy wykonują różne osoby albo różne organizacje.
SRS jest więc miejscem, w którym zdanie:
„zastosować blokadę osłony”
przestaje być życzeniem w Excelu, a zaczyna być wymaganiem technicznym.
Informacje z oceny ryzyka są przekształcane między innymi w:
zdarzenie inicjujące funkcję,
oczekiwaną reakcję maszyny,
wymagany stan bezpieczny,
PLr,
wymagany czas odpowiedzi,
tryby pracy,
interfejsy z innymi funkcjami,
zachowanie po wykryciu defektu,
warunki ponownego uruchomienia.
Wyniki oceny ryzyka, przewidziane użytkowanie, działania ręczne, warunki środowiskowe i sposób pracy maszyny mają zostać zamienione na specyfikację konkretnych funkcji bezpieczeństwa. W przykładzie otwarcie osłony jest zdarzeniem inicjującym, reakcją jest STO wszystkich ruchów, a wymagania uzupełniają PLr i czas odpowiedzi.
To nie oznacza, że STO zawsze będzie właściwą odpowiedzią.
Oznacza, że ktoś musi tę odpowiedź świadomie zdefiniować.
I później obronić.
Bez tego PLr jest tylko literą dopisaną do bliżej nieokreślonego „zatrzymania maszyny”.
Można policzyć kategorię, MTTFD, DC i CCF z dokładnością do trzeciego miejsca po przecinku.
Jeżeli nie wiadomo, jaka reakcja miała nastąpić i w jakim czasie, obliczenie pozostaje matematycznie poprawną odpowiedzią na niezadane pytanie.
Relacja ISO 13849 i ISO 12100 w kontekście prac normalizacyjnych
Powiązanie obu norm nie jest nowe.
Aktualna EN ISO 13849-1 wskazuje, że ISO 12100 służy do oceny ryzyka maszyny, natomiast ISO 13849 stosuje się wtedy, gdy środek redukcji ryzyka opiera się na funkcji bezpieczeństwa realizowanej przez system sterowania. Norma pokazuje również integrację obu procesów na wspólnych diagramach.
Do tej pory dokładniejsze wyjaśnienie tej relacji znajdowało się jednak w osobnym raporcie technicznym:
ISO/TR 22100-2:2013 — Jak ISO 12100 odnosi się do ISO 13849-1.
Raport koncentruje się właśnie na wykorzystaniu elementów systemów sterowania związanych z bezpieczeństwem w procesie oceny i redukcji ryzyka.
Czyli temat był obecny, ale funkcjonował raczej jako materiał uzupełniający niż integralna część głównej normy.
Obecnie ISO prowadzi prace nad kolejną edycją ISO 12100 (projekt ISO/DIS 12100.3). Na tym etapie nie jest jeszcze przesądzone jej ostateczne brzmienie, jednak kierunek prac wskazuje na większe uporządkowanie relacji między oceną ryzyka a projektowaniem funkcji bezpieczeństwa. Katalog ISO wskazuje przy tym, że projekt ma zastąpić między innymi ISO/TR 22100-2:2013, poświęcony właśnie relacji ISO 12100 z ISO 13849-1.
Sam fakt tych prac jest istotny.
Relacja między ISO 12100 a ISO 13849 stopniowo przestaje być wyłącznie dodatkowym objaśnieniem dla zaawansowanych użytkowników norm.
Staje się elementem, który ma być bardziej jednoznacznie osadzony w głównym procesie projektowym.
Nie oznacza to jeszcze, że znamy ostateczny kształt przyszłej normy.
Nie oznacza również zmiany roli ISO 13849 ani wykluczenia alternatywnych podejść, takich jak IEC 62061 czy IEC 61508. Aktualna EN ISO 13849-1 nadal dopuszcza wykorzystanie zwalidowanych podsystemów zgodnych z tymi normami, a obie ścieżki pozostają dopuszczalnymi sposobami wykazania wymaganej niezawodności funkcji, o ile są stosowane zgodnie ze swoim zakresem i wymaganiami.
Nie chodzi więc o zastępowanie jednej normy drugą.
Chodzi o coraz bardziej spójne powiązanie etapów procesu:
zagrożenie → sytuacja zagrożenia → redukcja ryzyka → funkcja bezpieczeństwa
oraz dalej:
zdarzenie inicjujące → reakcja → stan bezpieczny → PLr lub SIL → architektura → weryfikacja → walidacja
W praktyce oznacza to jeden ciąg projektowy, a nie dwa niezależne światy — oceny ryzyka i projektowania systemu sterowania.
Znaczenie dla roli ISO 13849
ISO 13849 nie jest jedynie normą służącą do obliczenia PL.
Coraz wyraźniej pełni rolę technicznego rozwinięcia decyzji podjętych podczas procesu redukcji ryzyka.
ISO 12100 odpowiada na pytanie:
gdzie i dlaczego potrzebujemy dalszego zmniejszenia ryzyka?
SRS odpowiada:
jaką funkcję musi wykonać maszyna, aby to ryzyko zmniejszyć?
ISO 13849 pozwala następnie wykazać:
czy elementy systemu sterowania wykonają tę funkcję z wymaganą niezawodnością.
To bardzo naturalny przebieg dla producenta maszyny.
Nie trzeba zaczynać od abstrakcyjnego wyboru:
PL czy SIL?
Najpierw trzeba wiedzieć, jaka funkcja wynika z oceny ryzyka.
Dopiero później można zdecydować, którą metodą najrozsądniej ją zaprojektować i udowodnić.
A ponieważ ISO 13849 łączy w jednym procesie:
wyniki oceny ryzyka,
specyfikację funkcji,
PLr,
architekturę podsystemów,
technologie elektryczne i nieelektryczne,
weryfikację,
walidację,
dokumentację,
dla wielu projektów staje się jedną z najbardziej bezpośrednich dróg od zagrożenia opisanego w ISO 12100 do konkretnego rozwiązania technicznego.
Nie zawsze jedyną.
Nie zawsze najlepszą.
Ale często najbardziej naturalną.
I właśnie dlatego kierunek rozwoju norm podstawowych jest istotny dla praktyki inżynierskiej.
Nie dlatego, że „nowa norma wybierze PL”.
Ale dlatego, że coraz trudniej będzie traktować funkcje bezpieczeństwa jako temat, który można doprecyzować dopiero na etapie implementacji.
Koniec procesu oceny ryzyka to nie zapis „zastosować osłonę z blokadą”. To właśnie tutaj zaczyna się projektowanie funkcji bezpieczeństwa.
9. Dlaczego w maszynach częściej widzimy PL niż SIL
Po całym porównaniu odpowiedź na pytanie „ISO 13849 czy IEC 62061?” nie brzmi:
bo ISO 13849 jest łatwiejsza.
Nie brzmi też:
bo SIL jest przeznaczony wyłącznie do skomplikowanych systemów.
Najważniejszy powód jest bardziej praktyczny.
Maszyna jest układem wielotechnologicznym. Funkcja bezpieczeństwa zwykle również.
A ISO 13849 od lat daje konstruktorowi wspólny język dla podsystemów elektronicznych, elektromechanicznych, pneumatycznych, hydraulicznych i mechanicznych — również wtedy, gdy jedne przychodzą z PFH i SIL, a inne z B10D, MTTFD albo po prostu z listą możliwych defektów i warunkami zastosowania.
IEC 62061 może dziś obejmować technologie nieelektryczne. I w wielu projektach będzie bardzo dobrym wyborem.
Ale decyzji nie powinien podejmować skrót na certyfikacie.
Najpierw trzeba odpowiedzieć na cztery pytania:
Co funkcja ma naprawdę zrobić?
Przez jakie technologie przechodzi?
Jakimi danymi rzeczywiście dysponujemy?
Która metoda pozwala bez sztucznych przerw wykazać i zwalidować cały tor?
Dopiero wtedy wybór między EN ISO 13849-1 a EN IEC 62061 staje się decyzją inżynierską.
A nie wyborem religii.
ISO 13849 częściej widzimy w maszynach nie dlatego, że lepiej opisuje sterownik. Widzimy ją częściej, ponieważ dobrze pozwala opisać całą funkcję bezpieczeństwa — także wtedy, gdy przed safety PLC znajduje się kawałek mechaniki, a za nim zawór, sprężyna i hamulec.
Maszyna nie zatrzymuje się na certyfikacie.
Nie zatrzymuje się również na wyjściu safety PLC.
Zatrzymuje się dopiero wtedy, gdy kompletna funkcja bezpieczeństwa wykona swoje zadanie.
I właśnie to trzeba zaprojektować, obliczyć i zwalidować.