În fișele tehnice, PL și SIL apar aproape întotdeauna împreună. Un PLC de siguranță este declarat SIL 3 și PL e. La fel un releu, o cortină optică sau un convertizor cu funcția STO. Totuși, când trebuie descrisă, calculată și validată funcția completă de securitate a unei mașini, alegerea ISO 13849 sau IEC 62061 se înclină frecvent spre EN ISO 13849-1.
Explicația comodă este că ISO 13849 ar fi mai simplă. Adevărul este mai important: o mașină nu este doar un dulap electric. Deschiderea unui protector mobil acționează o camă, un limitator de cursă transmite semnalul, logica îl prelucrează, iar un contactor, o supapă sau o frână trebuie să controleze energia reală. Dacă arcul se rupe, supapa se blochează sau frâna nu ține axa, certificatul SIL 3 al PLC-ului nu salvează funcția.
Certificatul releului nu oprește mașina. Mașina este oprită de funcția completă de securitate.
Aici apare avantajul practic al EN ISO 13849-1: metoda poate acoperi, în același lanț, tehnologii electrice, electronice, pneumatice, hidraulice și mecanice. IEC 62061:2021 nu mai este limitată exclusiv la electric și electronic, dar extinderea domeniului nu produce automat date de fiabilitate pentru fiecare arc, sertar de supapă, zăvor sau frână.
Posibilitatea formală de a include un element într-o metodă este una. Capacitatea de a construi o demonstrație de securitate credibilă este cu totul alta.
ISO 13849 sau IEC 62061: începeți cu funcția, nu cu PL sau SIL
În prea multe proiecte, ordinea este inversată. Se cumpără întâi PLC-ul de siguranță, releul, cortina optică sau convertizorul cu STO. Apoi se inventează o descriere care să se potrivească echipamentelor deja comandate. Pe schemă arată convingător: două canale, PL e, SIL 3, diagnosticare. Dar întrebarea esențială rămâne fără răspuns: ce trebuie să facă fizic mașina atunci când apare pericolul?
Formularea „deschiderea protectorului oprește mașina” este doar un titlu. Nu este încă o specificație. Oprirea poate însemna:
- STO — cuplul este eliminat în siguranță, dar mișcarea poate continua prin inerție;
- SS1 — mișcarea este frânată controlat, după care se activează STO;
- SS2 — după oprirea controlată, acționarea intră într-o stare de oprire sigură monitorizată;
- SOS — poziția de oprire este menținută și monitorizată cu acționarea activă;
- o secvență mai complexă, cu oprirea coordonată a axelor, evacuarea presiunii și aplicarea unei frâne mecanice.
Diferențele nu sunt semantice. STO nu este frână. Dezactivarea unei ieșiri nu elimină automat presiunea. Iar gravitația nu așteaptă aprobarea PLC-ului înainte să pună în mișcare o axă verticală.
„Mașina se oprește” nu este o funcție de securitate. Este un rezultat vag, care poate ascunde rulare liberă, frânare controlată sau menținerea activă a poziției.
Specificația cerințelor de securitate, SRS, trebuie să definească pentru fiecare funcție cel puțin:
- evenimentul inițiator;
- mișcările și energiile care trebuie controlate;
- reacția cerută și starea sigură urmărită;
- timpul maxim de răspuns și timpul până la atingerea stării sigure;
- modurile de operare în care funcția este activă;
- comportarea la pierderea energiei sau la detectarea unei defectări;
- modul în care starea sigură este menținută;
- condițiile de resetare și repornire.
Abia după această etapă are sens stabilirea PLr sau SIL necesar. PLr nu spune ce trebuie să facă funcția. Spune cât de sigur și de fiabil trebuie să o facă. Nivelul obținut trebuie apoi să atingă sau să depășească cerința stabilită pentru funcția respectivă.
PLr măsoară încrederea necesară în reacție. Nu înlocuiește definirea reacției.
Limita funcției nu coincide cu marginea dulapului electric
Într-o diagramă bloc, lanțul pare curat: intrare, logică, ieșire. În realitate, semnalul de securitate poate începe înaintea primului conductor. Protectorul trebuie să deplaseze fizic o camă, o rolă sau un actuator. Jocul din balamale, uzura rolei, deplasarea punctului de acționare ori montajul greșit pot face ca protectorul să se deschidă fără ca limitatorul să comute.
PLC-ul poate raporta că ambele canale sunt perfect coerente. Problema este că starea contactelor nu mai corespunde realității fizice. Redundanța și compararea canalelor nu repară o camă montată greșit.
PLC-ul nu vede protectorul. Vede numai starea contactelor. Diferența dintre cele două poate deveni un accident.
EN ISO 13849-1 permite ca analiza părții sistemului de comandă referitoare la securitate, SRP/CS, să înceapă chiar din locul în care evenimentul fizic devine informație. Camele și rolele care acționează dispozitivele de poziție pot face parte din lanțul analizat.
La capătul opus, dezactivarea ieșirii PLC-ului este doar o decizie de comandă. Contactorul trebuie să întrerupă efectiv energia, supapa trebuie să treacă în poziția prevăzută, frâna trebuie să dezvolte forța necesară, iar energia acumulată trebuie eliminată, disipată sau preluată în siguranță.
Starea sigură nu există în program. Există în mașină.
Asta nu înseamnă că întreaga mecanică trebuie introdusă fără discernământ în calculul PL. Un cilindru pneumatic obișnuit rămâne, de regulă, în afara SRP/CS, chiar dacă supapele care îi controlează energia aparțin subsistemului de ieșire. Totuși, comportarea cilindrului trebuie verificată la validarea stării sigure. Dacă ansamblul include un zăvor, un dispozitiv de blocare sau o frână care realizează o subfuncție de securitate, acel element nu poate fi ignorat.
Testul practic este simplu: defectarea elementului poate împiedica detectarea evenimentului, executarea reacției sau menținerea stării sigure? Dacă răspunsul este da, elementul face parte din demonstrația de securitate, indiferent dacă este un modul electronic sau o piesă de oțel.
Un PLC de siguranță SIL 3 nu creează automat o funcție SIL 3
Fișa tehnică a unui PLC de siguranță este impresionantă: SIL 3, PL e, procesoare redundante, autodiagnosticare și un certificat amplu. De aici apare scurtătura periculoasă: dacă logica are SIL 3, atunci și funcția are SIL 3.
Nu are. Declarația arată capacitatea subsistemului în condițiile stabilite de producător. Nu se transferă automat către senzor, cabluri, programul aplicației, contactori, supape, frâne și mecanisme.
SIL 3 nu se propagă prin instalație ca tensiunea de 24 V.
Într-o funcție tipică, senzorul detectează evenimentul, logica ia decizia, iar subsistemul de ieșire aduce mașina în starea sigură. Oricare dintre aceste etape poate eșua. PLC-ul poate prelucra corect semnalul și își poate dezactiva ieșirile, în timp ce o supapă rămâne blocată, un contactor rămâne lipit sau programul permite o repornire necontrolată.
Nivelul funcției complete este influențat atât de restricțiile fiecărui subsistem, cât și de PFH-ul total. Pentru subsisteme conectate în serie, contribuțiile PFH se însumează. Dacă intrarea, logica și ieșirea au fiecare un PFH de 8 × 10−8 pe oră, rezultatul este:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 pe oră
Fiecare bloc poate fi, separat, în domeniul PL e. Împreună, funcția ajunge în domeniul PL d. Nu este o anomalie a standardului, ci efectul firesc al existenței mai multor puncte în care poate apărea o defectare periculoasă.
PL e + PL e + PL e nu garantează PL e. Nivelurile nu se adună; probabilitățile de defectare periculoasă, da.
Obținerea PL e pentru o funcție complexă nu se face prin cumpărarea celor mai scumpe componente. Se face prin arhitectură: reducerea dependențelor inutile, diagnosticare eficientă, redundanță justificată, controlul defectărilor de cauză comună și limitarea PFH pentru întregul lanț.
Certificatul producătorului nu verifică montajul limitatorului, separarea canalelor, bucla de reacție a contactoarelor, programul realizat de integrator sau distanța de securitate a unei cortine optice. Producătorul a evaluat dispozitivul său. Proiectantul mașinii trebuie să evalueze integrarea.
O singură funcție de securitate poate traversa mai multe tehnologii
Avantajul major al EN ISO 13849-1 devine vizibil pe mașina reală, nu într-un catalog. Deschiderea unui protector poate deplasa o camă mecanică. Cama acționează un limitator electromecanic. Semnalul ajunge la un releu sau la un PLC de siguranță. Ieșirea dezalimentează bobina unei supape pneumatice, un arc repoziționează sertarul, presiunea este izolată ori evacuată, iar o frână mecanică menține poziția.
Este o singură funcție. Faptul că elementele au fost proiectate de departamente diferite nu schimbă fizica.
Mașina nu împarte funcția în automatizare, pneumatică și mecanică. Această împărțire există numai în organigramă și în dosarele proiectului.
EN ISO 13849-1 oferă un model natural pentru împărțirea lanțului în subsisteme și evaluarea contribuției lor la funcția completă. Asta nu înseamnă că fiecare arc sau șurub primește propriul PL. Nivelul se atribuie subsistemului și, în final, funcției complete.
Dacă un arc trebuie să ducă supapa în poziția sigură după pierderea energiei, analiza trebuie să trateze ruperea, pierderea forței, montarea greșită, blocarea din cauza contaminării și imposibilitatea de a învinge frecările interne. Dacă o frână trebuie să mențină o axă verticală, trebuie verificată forța efectivă, uzura, timpul de aplicare, diagnosticarea și comportarea la pierderea alimentării.
Lipsa electronicii nu înseamnă lipsa influenței asupra securității.
Nu orice element care influențează riscul devine automat parte din SRP/CS. Un protector fix, geometria mașinii sau o structură portantă pot reduce riscul independent de sistemul de comandă. Trebuie identificate însă elementele care:
- inițiază semnalul de securitate;
- prelucrează semnalul;
- comandă energia periculoasă;
- execută o subfuncție de securitate;
- mențin starea sigură după oprire sau după pierderea energiei.
Acest mod de lucru explică popularitatea PL în construcția de mașini. Metoda nu forțează proiectantul să termine analiza acolo unde conductorul ajunge la bobina supapei.
ISO 13849 lucrează bine cu datele disponibile în construcția de mașini
În teorie, alegerea dintre PL și SIL pare o decizie metodologică elegantă. În practică, este adesea decisă de datele existente. PLC-urile de siguranță, convertoarele și senzorii optoelectronici vin de regulă cu PL, SIL, PFH, timpi de reacție și limite de utilizare. Pentru contactori, supape, limitatoare, zăvoare și frâne, situația este mai puțin confortabilă.
În locul unei valori PFH validate putem primi B10D, numărul admis de cicluri, condițiile de sarcină, o referire la standardul de produs sau doar o durabilitate mecanică generală. ISO 13849 permite folosirea mai multor tipuri de dovezi, fără să pretindă că toate componentele sunt dispozitive electronice certificate.
Pentru un subsistem validat, valorile PL, SIL și PFH furnizate de producător pot fi utilizate direct, dacă sunt respectate limitele documentate. Pentru componentele supuse uzurii, B10D poate fi combinat cu numărul mediu anual de acționări, nop, pentru estimarea MTTFD.
Valoarea din tabel este începutul justificării, nu finalul ei.
Același model de supapă acționat de cinci ori pe schimb și acționat la fiecare două secunde nu are aceeași contribuție la fiabilitatea mașinii. B10D trebuie corelat cu ciclurile reale, sarcina, presiunea, calitatea fluidului, temperatura și condițiile de montaj. În plus, trebuie înțeles ce a considerat producătorul drept defectare periculoasă: blocarea, întârzierea comutării, pierderea etanșeității sau alt mod de defectare.
Evaluarea PL combină aspecte cantitative și calitative:
- categoria arhitecturii;
- MTTFD;
- acoperirea de diagnosticare, DC;
- măsurile împotriva defectărilor de cauză comună, CCF;
- principiile de securitate de bază și bine verificate;
- comportarea la defectare;
- software-ul și defectările sistematice;
- condițiile de mediu și de exploatare;
- excluderile de defect justificate.
Excluderea unui defect nu înseamnă „piesa este robustă și nu se va rupe”. Proiectantul trebuie să identifice defectul concret și să demonstreze de ce probabilitatea lui poate fi considerată neglijabilă în condițiile date. Justificarea trebuie să țină cont de material, sarcină, direcția forței, supradimensionare, montaj, uzură și influențe externe.
Excluderea defectului nu este absența analizei. Este unul dintre rezultatele ei cele mai greu de susținut.
Forța EN ISO 13849-1 constă tocmai în flexibilitatea controlată a datelor acceptate: PFH pentru subsisteme certificate, B10D pentru elemente cu uzură, MTTFD furnizat de producător, metode din standardele de produs, arhitecturi, diagnosticare, principii verificate și excluderi de defect documentate. Nu orice metodă se potrivește oricărui element, dar proiectantul nu este limitat la o singură fișă de certificat.
ISO 13849 sau IEC 62061 pentru pneumatică, hidraulică și mecanică?
Afirmația că IEC 62061 se aplică numai sistemelor electrice și electronice este depășită. Edițiile mai vechi aveau într-adevăr un domeniu mai restrâns. IEC 62061:2021 a extins abordarea pentru a include și tehnologii neelectrice în contextul funcțiilor de securitate.
Prin urmare, prezența unei supape pneumatice, a unei frâne mecanice sau a unui limitator acționat mecanic nu exclude o evaluare SIL. Subsistemul de ieșire poate include supapa, arcul de revenire, pilotarea, monitorizarea poziției și eventual redundanța. Trebuie însă construit un model credibil al defectărilor și al contribuției lor la PFH-ul funcției.
Pneumatica nu mai este în afara domeniului SIL. Este în interiorul demonstrației, unde trebuie susținută cu date și argumente.
Să luăm un lanț simplificat: oprire de urgență, PLC de siguranță, supapă 5/2, cilindru și mișcare periculoasă. Pentru subsistemul pneumatic trebuie analizate, după caz:
- blocarea supapei în poziția care menține energia periculoasă;
- blocarea în poziția sigură;
- pierderile interne și presiunea reziduală;
- scăderea forței arcului de revenire;
- întârzierea comutării;
- influența contaminării și a calității aerului;
- eficiența testelor și a monitorizării presiunii sau poziției;
- efectul redundanței și al defectărilor de cauză comună.
Dacă producătorul oferă un PFH validat și limite clare, datele pot fi integrate în calculul SIL. Dacă nu, modelul trebuie construit din încercări, date de utilizare, ipoteze de mentenanță, arhitectură și diagnosticare. Fără date și fără o justificare solidă, subsistemul limitează demonstrația întregii funcții.
IEC TS 63394:2023 completează acest subiect prin modele mai potrivite pentru tehnologii mecanice, pneumatice și hidraulice. Aceste elemente se uzează în funcție de cicluri, sarcină, contaminare, lubrifiere și mediu; nu se comportă întotdeauna ca electronica modelată printr-o intensitate constantă a defectărilor.
Extinderea domeniului unui standard nu produce automat datele lipsă și nu elimină munca de inginerie.
Așadar, diferența actuală nu mai este că numai ISO 13849 ar putea trata tehnologii mixte. Ambele standarde pot face acest lucru. Diferența practică este că ISO 13849 are de mult timp metode, biblioteci, exemple, instrumente și date uzuale pentru componentele întâlnite în construcția de mașini.
Un component certificat SIL nu obligă întreaga funcție să folosească IEC 62061
Un PLC cu SIL 3, un convertizor cu STO SIL 3 sau o cortină optică SILCL 3 nu aleg metoda pentru întregul proiect. EN ISO 13849-1 permite integrarea subsistemelor validate conform ISO 13849, IEC 62061, seriei IEC 61508 sau standardelor de produs relevante.
O funcție evaluată final în PL poate include un senzor cu SILCL 3, un PLC cu SIL 3, un convertizor cu STO SIL 3, un contactor descris prin B10D și o supapă evaluată conform principiilor ISO 13849. Nu este o contradicție. Condiția este ca datele să fie utilizabile, restricțiile producătorilor să fie respectate, iar funcția completă să fie evaluată.
Certificatul subsistemului îi definește capacitatea. Nu îi permite să aleagă în locul proiectantului metoda întregii funcții.
PL și SIL se întâlnesc la domeniile PFH, dar nu devin aceeași metodă. Pentru funcționare continuă sau solicitare frecventă există următoarele corelații uzuale:
- PL b și PL c se corelează cu domeniul SIL 1;
- PL d se corelează cu domeniul SIL 2;
- PL e se corelează cu domeniul SIL 3;
- PL a nu are o corelație directă în scala SIL.
A spune simplu că PL d „este egal” cu SIL 2 este prea mult. Valorile se pot afla în domenii PFH corespunzătoare, însă cerințele de arhitectură, toleranță la defecte, diagnosticare, software și integritate sistematică nu sunt identice.
Nici categoria nu trebuie inventată pentru un subsistem certificat după IEC 62061 sau IEC 61508. Categoria descrie structura și comportarea unui subsistem conform ISO 13849; nu este o altă denumire pentru SIL. Integratorul trebuie să respecte PFH-ul declarat, timpii de reacție, intervalele de testare, condițiile de mediu, configurațiile permise și toate restricțiile din manual.
Legătura cu ISO 12100: evaluarea riscului trebuie să ducă la o funcție concretă
În multe evaluări de risc apare măsura „se va utiliza un protector cu interblocare”. Formularea este corectă ca direcție, dar nu proiectează încă nimic. Nu spune ce mișcări trebuie oprite, în cât timp, dacă este necesară frânarea controlată, ce se întâmplă cu presiunea și energia potențială sau când este permisă repornirea.
ISO 12100 identifică pericolul și măsurile necesare pentru reducerea riscului. Atunci când reducerea depinde de sistemul de comandă, rezultatul trebuie transformat într-o funcție de securitate și într-o SRS suficient de precisă pentru proiectare, verificare și validare.
Finalul evaluării riscului nu este propoziția „se montează un protector cu interblocare”. Acolo începe proiectarea funcției de securitate.
EN ISO 13849-1:2023 face această legătură explicită. SRS trebuie să transfere către proiectant evenimentul inițiator, reacția cerută, starea sigură, PLr, timpii, modurile de lucru, interfețele, comportarea la defectare și condițiile de repornire. Fără aceste informații, un calcul detaliat al categoriei, MTTFD, DC și CCF poate fi matematic corect, dar poate răspunde la întrebarea greșită.
Documentele de lucru privind revizuirea ISO 12100, inclusiv proiectul publicat sub indicativul ISO/DIS 12100.3, au urmărit consolidarea legăturii dintre evaluarea riscului și proiectarea funcțiilor de securitate. Înaintea unei citări contractuale trebuie verificat statutul actual al documentului și ediția adoptată. Direcția tehnică rămâne însă clară: evaluarea riscului și proiectarea sistemului de comandă nu trebuie tratate ca două activități izolate.
De ce PL rămâne mai frecvent decât SIL în proiectarea mașinilor
Răspunsul nu este că ISO 13849 ar fi întotdeauna mai simplă și nici că IEC 62061 ar fi rezervată sistemelor foarte complicate. Motivul este mai practic: mașina și funcția sa de securitate sunt, de regulă, multitehnologice.
ISO 13849 oferă de mult timp un limbaj comun pentru subsisteme electronice, electromecanice, pneumatice, hidraulice și mecanice. Poate integra blocuri certificate cu PFH și SIL, dar și componente descrise prin PL, B10D, MTTFD, arhitectură, principii verificate și moduri de defectare.
IEC 62061 este o alegere solidă atunci când arhitectura, procesul de dezvoltare și datele disponibile susțin demonstrația SIL. Este deosebit de naturală în sisteme complexe, programabile, cu subsisteme bine documentate și cerințe riguroase privind integritatea sistematică. Nu trebuie însă aleasă doar pentru că PLC-ul sau convertizorul poartă un certificat SIL 3.
Înainte de alegerea metodei, răspundeți la patru întrebări:
- Ce trebuie să facă efectiv funcția și ce stare sigură trebuie să atingă?
- Prin ce tehnologii și elemente trece întregul lanț?
- Ce date de fiabilitate și ce limite de utilizare sunt disponibile în realitate?
- Care metodă permite verificarea și validarea completă fără întreruperi artificiale între electric, pneumatic, hidraulic și mecanic?
Abia atunci alegerea dintre EN ISO 13849-1 și EN IEC 62061 devine o decizie inginerească. PL apare mai des la mașini nu pentru că descrie mai bine PLC-ul, ci pentru că permite descrierea coerentă a întregii funcții, inclusiv cama din fața senzorului, supapa de după PLC, arcul de revenire și frâna care trebuie să țină axa.
Mașina nu se oprește la certificat și nici la ieșirea PLC-ului. Se oprește numai când funcția completă de securitate își îndeplinește sarcina. Acea funcție trebuie specificată, proiectată, calculată și validată.