Na katalógových listoch žijú PL a SIL vedľa seba. Bezpečnostné PLC má SIL 3 aj PL e, podobne bezpečnostné relé, svetelná clona či pohon s funkciou STO. Keď však treba opísať, vypočítať a validovať kompletnú bezpečnostnú funkciu stroja, prax častejšie siaha po STN EN ISO 13849-1. Otázka ISO 13849 alebo IEC 62061 pritom nemá jednoduchú odpoveď typu „prvá norma je ľahšia“.
Stroj totiž nie je len elektrický rozvádzač. Otvorenie krytu musí mechanicky aktivovať snímač, signál musí spracovať bezpečnostná logika a výstupný prvok musí reálne odstrániť, rozptýliť alebo bezpečne ovládnuť energiu. Ventil sa musí prestaviť, brzda musí udržať os a stykač musí skutočne rozpojiť výkonový obvod.
Certifikát bezpečnostného relé nezastaví stroj. Zastaví ho až kompletná bezpečnostná funkcia.
Práve tu sa ukazuje praktická sila ISO 13849. Nejde iba o známe kategórie B, 1, 2, 3 a 4. Podstatná je možnosť posudzovať jedným postupom časti riadiaceho systému vytvorené elektrickou, elektronickou, pneumatickou, hydraulickou aj mechanickou technológiou.
ISO 13849 alebo IEC 62061: najprv definujte bezpečnostnú funkciu
V mnohých projektoch je poradie obrátené. Najskôr sa vyberie bezpečnostné PLC, relé, svetelná clona alebo pohon s funkciou STO. Až potom sa k hotovým komponentom dopíše veta, že otvorenie krytu zastaví stroj.
To však nie je špecifikácia. Je to iba nadpis. Nie je jasné, ktoré pohyby sa majú zastaviť, ako rýchlo, čo sa má stať s tlakom, zotrvačnosťou alebo gravitačným zaťažením a ako sa má bezpečný stav udržať.
Najskôr určte, čo má bezpečnostná funkcia urobiť. Až potom riešte PL, SIL, architektúru a komponenty.
Pri otvorení ochranného krytu môže byť požadovanou reakciou napríklad:
- STO – bezpečné vypnutie krútiaceho momentu, pričom pohyb môže zotrvačnosťou pokračovať,
- SS1 – riadené spomalenie nasledované bezpečným vypnutím krútiaceho momentu,
- SS2 – riadené zastavenie s následným prechodom do monitorovaného bezpečného pokoja,
- SOS – bezpečne monitorovaný pokoj pri aktívnom pohone,
- kombinovaná sekvencia pre osi, ventily, brzdy a pomocné systémy.
Rozdiel nie je akademický. STO nie je brzda. Pri vertikálnej osi môže po odpojení momentu nastúpiť gravitácia. Pri veľkej zotrvačnosti môže voľný dobeh trvať dlhšie, než človek potrebuje na dosiahnutie nebezpečného miesta. Naopak príliš prudké zastavenie môže vytvoriť nové mechanické riziko.
Bezpečný stav neexistuje ako nulový bit v programe. Existuje iba ako fyzický stav stroja.
Špecifikácia bezpečnostných požiadaviek SRS preto musí pre každú funkciu určiť minimálne:
- iniciačnú udalosť,
- očakávanú reakciu stroja,
- cieľový bezpečný stav,
- čas potrebný na jeho dosiahnutie,
- prevádzkové režimy, v ktorých má byť funkcia aktívna,
- správanie pri poruche alebo strate energie,
- spôsob udržania bezpečného stavu,
- podmienky obnovenia prevádzky,
- požadovanú úroveň vlastností PLr alebo požadovanú úroveň integrity bezpečnosti.
PLr nehovorí, čo má funkcia vykonať. Hovorí, s akou spoľahlivosťou to musí vykonať. Až keď je reakcia presne definovaná, možno zodpovedne vybrať snímač, logiku, diagnostiku, ventil, brzdu, pohon a metódu validácie.
Hranica bezpečnostnej funkcie nekončí na rozvádzači
Bloková schéma býva uprataná: vstup, logika, výstup. Realita je menej poslušná. Ochranný kryt najskôr musí fyzicky pohnúť vačkou, valčekom alebo tŕňom polohového spínača. Vôľa v závese, opotrebovanie valčeka, nesprávne nastavený bod zopnutia či malý zdvih môžu spôsobiť, že otvorenie krytu nebude správne rozpoznané.
Bezpečnostné PLC pritom môže pracovať úplne bezchybne. Vidí totiž stav kontaktov, nie skutočnú polohu krytu. Dvojkanálové zapojenie ani porovnávanie signálov neopraví chybnú mechaniku ovládania snímača.
Hranica analýzy sa má riadiť tokom nebezpečnej udalosti, nie hranicami oddelení vo firme ani stenou elektrického rozvádzača.
STN EN ISO 13849-1 zahŕňa časti riadiaceho systému súvisiace s bezpečnosťou už od miesta vzniku signálu. Mechanická vačka alebo valček polohového spínača preto môžu patriť do bezpečnostného reťazca.
Rovnaká pozornosť patrí výstupu. Vypnutie výstupu PLC je len rozhodnutie. Stykač musí rozpojiť výkon, ventil sa musí prestaviť, tlak musí klesnúť alebo sa bezpečne uzavrieť a brzda musí vytvoriť dostatočnú silu. Ak sa ventil zasekne alebo brzda neudrží os, funkcia zlyhala bez ohľadu na správny stav programu.
To však neznamená, že do výpočtu PL treba vtiahnuť celý stroj. Bežný pneumatický valec môže zostať mimo SRP/CS, hoci jeho správanie treba zohľadniť pri validácii výsledného pohybu. Ak však zostava valca obsahuje integrované blokovanie alebo mechanizmus vykonávajúci bezpečnostnú podfunkciu, jeho úlohu nemožno jednoducho ignorovať.
Praktický test je jednoduchý: môže porucha daného prvku spôsobiť, že sa udalosť nezistí, reakcia sa nevykoná alebo bezpečný stav nezostane zachovaný? Ak áno, prvok patrí do bezpečnostného dôkazu, aj keby išlo iba o pružinu alebo kus ocele.
Bezpečnostné PLC so SIL 3 nevytvára funkciu SIL 3
Označenie SIL 3 alebo PL e vyjadruje schopnosť konkrétneho subsystému pri dodržaní určených podmienok použitia. Táto schopnosť sa automaticky neprenesie na snímače, kabeláž, aplikačný program, stykače, ventily ani brzdy.
SIL 3 sa po inštalácii nerozšíri po stroji ako napájacie napätie. Certifikované PLC je spravidla iba logický subsystém.
Typická bezpečnostná funkcia obsahuje vstupný subsystém, logiku a výstupný subsystém. Každý z nich môže prispieť k nebezpečnej poruche. Bezpečnostné PLC môže správne prijať signál a vypnúť výstupy, ale ventil sa nemusí prestaviť, stykač môže zostať zvarený alebo nesprávne navrhnuté obnovenie prevádzky môže okamžite znovu povoliť pohyb.
Pri známych hodnotách PFH sa príspevky jednotlivých subsystémov sčítavajú. Predstavme si tri sériovo zapojené subsystémy, z ktorých každý má PFH 8 × 10−8 za hodinu:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 za hodinu.
Každý subsystém samostatne môže spadať do rozsahu PL e, ale ich súčet už zodpovedá rozsahu PL d. Tri kvalitné bloky teda automaticky nevytvoria funkciu PL e.
PL e + PL e + PL e nemusí dať PL e. Výsledok určuje kompletná architektúra a súčet príspevkov k nebezpečnej poruche.
Vyššia úroveň sa nedosahuje zbieraním pôsobivých certifikátov. Dosahuje sa návrhom štruktúry: odstránením zbytočných kritických bodov, vhodnou redundanciou, diagnostikou, riadením porúch so spoločnou príčinou a správnym správaním pri zistenej poruche.
Certifikát výrobcu navyše neposudzuje montáž snímača, zapojenie spätných väzieb, kvalitu aplikačného programu ani obchádzanie blokovania v nastavovacom režime. Výrobca posúdil svoje zariadenie. Projektant a výrobca stroja musia posúdiť jeho integráciu.
ISO 13849 alebo IEC 62061 pri kombinácii viacerých technológií
Najväčšia výhoda STN EN ISO 13849-1 sa ukáže až na skutočnom stroji. Otvorenie krytu pohne mechanickou vačkou. Tá aktivuje elektromechanický spínač. Signál spracuje bezpečnostné relé, ktoré odpojí cievku pneumatického ventilu. Pružina prestaví posúvač, tlak sa odvedie a brzda udrží zvislú os.
Je to jedna bezpečnostná funkcia, hoci prechádza cez mechaniku, elektriku, pneumatiku a opäť mechaniku.
Stroj nerozlišuje, ktorý prvok navrhoval automatizér, pneumatik alebo konštruktér. Ak jeden článok zlyhá, bezpečný stav nemusí vzniknúť.
ISO 13849 umožňuje takýto reťazec rozdeliť na subsystémy a hodnotiť ich spoločný príspevok. Neznamená to, že každá pružina alebo skrutka dostane vlastné PL. Hodnotí sa subsystém a napokon kompletná bezpečnostná funkcia.
Ak pružina nastavuje ventil do bezpečnej polohy po strate energie, treba posúdiť následky jej prasknutia, straty sily, nesprávnej montáže alebo zablokovania ventilu nečistotou. Nie preto, že sa pružina stala riadiacim systémom, ale preto, že jej porucha môže zničiť bezpečnostnú podfunkciu.
Rovnako mechanická brzda môže byť kľúčová pri udržaní zvislej osi. Pohon vykoná STO správne, no os môže napriek tomu klesnúť. Elektronika splnila svoje zadanie, ale celá funkcia zlyhala.
Pri definovaní hraníc treba rozlišovať prvky, ktoré:
- iniciujú bezpečnostný signál,
- spracúvajú ho,
- riadia nebezpečnú energiu,
- vykonávajú bezpečnostnú podfunkciu,
- udržiavajú bezpečný stav.
Prítomnosť pneumatiky alebo mechaniky dnes automaticky nevylučuje IEC 62061. ISO 13849 však pre takéto zmiešané funkcie dlhodobo ponúka prirodzený a v strojárskej praxi dobre zavedený model.
ISO 13849 využíva údaje, ktoré sú v strojárstve reálne dostupné
Pri bezpečnostnom PLC alebo pohone s STO bývajú dostupné PL, SIL, PFH, čas reakcie a podmienky integrácie. Pri stykači, ventile, polohovom spínači alebo mechanickom blokovaní však výrobca často uvádza skôr B10D, počet cyklov, prevádzkové podmienky a prípustné zaťaženie.
O výbere metódy často nerozhodne elegancia výpočtu, ale kvalita a forma údajov, ktoré sú pre konkrétne komponenty skutočne dostupné.
Parameter B10D predstavuje počet cyklov, po ktorom 10 % skúšaných komponentov nebezpečne zlyhá. Pri mechanicky opotrebovávaných prvkoch je počet operácií zásadný. Rovnaký ventil prepnutý päťkrát za zmenu a ventil prepínaný každé dve sekundy nemajú v konkrétnej aplikácii rovnakú očakávanú spoľahlivosť.
Z B10D a priemerného počtu operácií za rok možno odvodiť MTTFd. Nestačí však slepo prepísať katalógovú hodnotu. Treba overiť tlak, prietok, elektrické a mechanické zaťaženie, kvalitu média, teplotu, mazanie, frekvenciu spínania aj definíciu nebezpečnej poruchy.
Ventil môže stále meniť polohu, ale príliš pomaly. Stykač nemusí prekročiť deklarovaný počet cyklov, no môže byť prevádzkovaný mimo dovoleného zaťaženia. Polohový spínač môže mať výbornú elektrickú životnosť a súčasne opotrebovaný ovládací mechanizmus.
ISO 13849 kombinuje kvantitatívne a kvalitatívne požiadavky. Posudzuje najmä:
- kategóriu architektúry,
- MTTFd,
- diagnostické pokrytie DC,
- poruchy so spoločnou príčinou CCF,
- systematické poruchy,
- bezpečnostné zásady a osvedčené komponenty,
- softvér a aplikačné podmienky,
- správanie pri poruche,
- odôvodnené vylúčenia porúch.
Vylúčenie poruchy nie je technická verzia tvrdenia, že sa daný prvok predsa nemôže pokaziť. Musí byť viazané na konkrétny spôsob poruchy, zaťaženie, materiál, rozmery, montáž, prostredie a fyzikálne podmienky.
Vylúčenie poruchy nie je absencia analýzy. Je to jeden z jej najnáročnejších a najlepšie zdokumentovaných výsledkov.
Praktickosť ISO 13849 teda nespočíva v tom, že vyžaduje menej dôkazov. Umožňuje však dôkaz zostaviť z údajov bežne používaných v technike strojov: PFH, B10D, MTTFd, architektúry, diagnostiky, skúšok, bezpečnostných zásad a analýzy konkrétnych porúch.
IEC 62061 už nie je iba pre elektrické systémy
Historicky sa IEC 62061 spájala najmä s elektrickými, elektronickými a programovateľnými elektronickými bezpečnostnými systémami. Pneumatické, hydraulické a mechanické prvky sa preto v zmiešaných funkciách často posudzovali podľa ISO 13849.
Vydanie IEC 62061 z roku 2021 však rozsah rozšírilo aj na neelektrické technológie. Dnes preto nie je správne tvrdiť, že prítomnosť pneumatického ventilu alebo mechanickej brzdy automaticky vylučuje použitie tejto normy.
Pneumatika ani mechanika už nevylučujú SIL. Rozšírený rozsah normy však sám osebe nevytvorí chýbajúce údaje o spoľahlivosti.
Formálna možnosť zahrnúť prvok do metódy je jedna vec. Vytvorenie dôveryhodného modelu jeho porúch je vec druhá. Výrobca pružiny, tesnenia alebo bežného ventilu nemusí poskytovať údaje v rovnakom formáte ako výrobca bezpečnostného PLC.
Pri reťazci núdzové zastavenie, bezpečnostné PLC, pneumatický ventil a valec sa v prístupe podľa IEC 62061 posudzuje výstupný subsystém vrátane ventilu, vratnej pružiny, ovládania a prípadnej redundancie. Treba určiť, ktoré poruchy môžu viesť k strate bezpečnostnej funkcie a aký je ich príspevok k PFH.
Ak výrobca poskytne validované PFH a hranice použitia, možno ich priamo zahrnúť. Ak údaje chýbajú, treba vytvoriť model pomocou skúšok, architektúry, diagnostiky, prevádzkových predpokladov a konzervatívnych odhadov. Bez údajov a bez technického zdôvodnenia subsystém obmedzuje celý reťazec.
IEC 62061 pneumatiku neignoruje. Vyžaduje však, aby bola prevedená do dôveryhodného modelu spoľahlivosti celej bezpečnostnej funkcie.
Mechanické a pneumatické prvky sa navyše opotrebúvajú podľa počtu cyklov, kvality vzduchu, mazania, nečistôt, montáže a prostredia. Ich správanie preto nemusí zodpovedať jednoduchým modelom s konštantnou intenzitou porúch, ktoré sa často používajú pri elektronike. Technická špecifikácia IEC TS 63394:2023 pomáha tieto odlišnosti riešiť realistickejšie.
Rozdiel medzi normami teda už neleží v tvrdení, že iba jedna z nich dokáže pokryť viaceré technológie. Rozdiel je skôr v tom, ako prirodzene možno z dostupných údajov zostaviť a validovať dôkaz pre konkrétny stroj.
Komponent so SIL nenúti celú funkciu používať SIL
Bezpečnostná funkcia hodnotená podľa STN EN ISO 13849-1 môže obsahovať subsystémy validované podľa IEC 62061, série IEC 61508, príslušných výrobkových noriem alebo podľa samotnej ISO 13849.
V jednej funkcii tak môže pracovať svetelná clona so SILCL 3, bezpečnostné PLC so SIL 3, pohon s bezpečnostnou funkciou STO, stykač opísaný hodnotou B10D a pneumatický ventil posúdený podľa ISO 13849. Nie je potrebné rozoberať certifikované PLC na interné procesory a priraďovať im vlastné MTTFd. Možno ho použiť ako validovaný subsystém, ak sú dodržané všetky podmienky výrobcu.
Certifikát subsystému určuje jeho schopnosti. Nevyberá za projektanta metódu posúdenia celej bezpečnostnej funkcie.
PL a SIL sa stretávajú pri priemernej frekvencii nebezpečnej poruchy za hodinu. Pre časté vyžiadanie alebo nepretržitú prevádzku platí korelácia:
- PL b koreluje so SIL 1,
- PL c koreluje so SIL 1,
- PL d koreluje so SIL 2,
- PL e koreluje so SIL 3,
- PL a nemá zodpovedajúcu úroveň SIL.
Nejde však o jednoduchú rovnosť metód. PL d nie je automaticky to isté ako SIL 2. Úrovne sa prekrývajú v intervale PFH, ale cesta k ich preukázaniu používa rozdielne architektonické, systematické, softvérové a validačné požiadavky.
PL a SIL možno porovnávať cez intervaly PFH. Nemožno však zameniť celú metodiku iba prepísaním označenia.
Rovnako nie je potrebné certifikovanému subsystému so SIL umelo priraďovať kategóriu 3 alebo 4. Kategória opisuje konkrétnu štruktúru a správanie subsystému pri poruche. Pri zariadení validovanom podľa IEC 62061 alebo IEC 61508 nemusí byť takáto kategória známa ani požadovaná.
Dôležité sú deklarované vstupy, výstupy, PFH, čas reakcie, maximálna schopnosť, obmedzenia použitia, diagnostické skúšky a podmienky integrácie. SIL 3 môže platiť iba pri konkrétnom zapojení, pravidelných skúškach, stanovenom čase používania a určených podmienkach prostredia.
Ak svetelná clona so SILCL 3 stojí príliš blízko nebezpečnej zóny, človeka síce správne zistí, no stroj sa môže zastaviť neskoro. Ak sa pri osi vyžaduje SS1 a projekt používa iba STO, problémom nie je spoľahlivosť pohonu, ale nesprávne zvolená reakcia.
Od hodnotenia rizika k SRS, PLr a SIL
V hodnoteniach rizika sa často objaví opatrenie „použiť ochranný kryt s blokovaním“. Takýto zápis však neurčuje, ktoré pohyby sa majú zastaviť, akým spôsobom, v akom čase ani čo sa má stať so zvyškovou energiou.
ISO 12100 identifikuje potrebu zníženia rizika. Keď toto zníženie závisí od riadiaceho systému, výsledok treba rozpracovať do konkrétnej bezpečnostnej funkcie. STN EN ISO 13849-1:2023 preto kladie SRS priamo medzi hodnotenie rizika a technický návrh SRP/CS.
SRS nie je dokument dopisovaný po dokončení stroja. Je to technické zadanie, z ktorého musí návrh bezpečnostnej funkcie vychádzať.
Práve v SRS sa všeobecná požiadavka mení na konkrétne parametre: otvorenie krytu ako iniciačná udalosť, SS1 ako reakcia, bezpečne monitorovaný pokoj ako výsledný stav, PLr d ako požadovaná spoľahlivosť, maximálny čas odozvy a ručné obnovenie prevádzky mimo nebezpečného priestoru.
Bez takejto väzby môže konštruktér pod slovom zastavenie chápať zabrzdenie, automatizér vypnutie výstupu PLC a technológ odstránenie tlaku. Všetky tri interpretácie môžu znieť rozumne, ale iba jedna môže zodpovedať konkrétnemu riziku.
Práce na ďalšom vydaní ISO 12100 zároveň smerujú k tesnejšiemu prepojeniu hodnotenia rizika s projektovaním bezpečnostných funkcií. Projekt ISO/DIS 12100.3 má podľa informácií ISO nahradiť aj technickú správu ISO/TR 22100-2, ktorá vysvetľuje vzťah medzi ISO 12100 a ISO 13849-1. Konečné znenie novej normy môže priniesť zmeny, smer je však zrozumiteľný: bezpečnostná funkcia nemá byť dodatočným výpočtom po dokončení konštrukcie.
Správny postup je súvislý reťazec: nebezpečenstvo → riziková situácia → opatrenie → bezpečnostná funkcia → PLr alebo SIL → architektúra → overenie → validácia.
ISO 13849 nie je iba kalkulačka PL. Je technickým pokračovaním rozhodnutí prijatých pri hodnotení a znižovaní rizika. IEC 62061 môže túto úlohu plniť rovnako, ak lepšie zodpovedá charakteru funkcie, údajom a spôsobu vývoja systému.
Prečo teda v strojoch častejšie vidíme PL než SIL
Odpoveď nie je v tom, že ISO 13849 je vždy jednoduchšia alebo že IEC 62061 patrí iba do zložitých elektronických systémov. Obe normy sú platné cesty a obe môžu pokrývať bezpečnostné funkcie využívajúce viacero technológií.
ISO 13849 je však v strojárstve dlhodobo rozšírená, pretože poskytuje spoločný rámec pre elektronické, elektromechanické, pneumatické, hydraulické a mechanické subsystémy. Dokáže pracovať s PFH a certifikovanými blokmi, ale aj s B10D, počtom cyklov, MTTFd, kategóriami, diagnostikou a kvalitatívnou analýzou porúch.
Okolo tejto normy navyše vznikli rozsiahle knižnice komponentov, výpočtové nástroje, typové architektúry, validačné postupy a dokumentácia výrobcov. To je v praxi dôležité. Norma môže byť formálne vhodná, no projektant stále potrebuje použiteľné údaje a dôveryhodnú cestu k dôkazu.
Pred voľbou metódy preto treba odpovedať na štyri otázky:
- Čo má bezpečnostná funkcia fyzicky vykonať?
- Cez ktoré technológie prechádza od iniciačnej udalosti po bezpečný stav?
- Aké údaje o subsystémoch sú skutočne dostupné?
- Ktorá metóda umožní bez umelých medzier overiť a validovať celý reťazec?
Až potom je rozhodnutie medzi STN EN ISO 13849-1 a STN EN IEC 62061 technickou voľbou, nie súťažou skratiek na certifikátoch.
Stroj sa nezastaví na výstupe bezpečnostného PLC ani na prvej strane certifikátu. Zastaví sa až vtedy, keď kompletná bezpečnostná funkcia dosiahne a udrží požadovaný bezpečný stav.
Preto pri strojoch tak často víťazí PL. Nie preto, že by lepšie opisovalo samotné PLC, ale preto, že prakticky opisuje celý bezpečnostný reťazec – vrátane vačky pred snímačom, ventilu za výstupom, vratnej pružiny a brzdy, ktorá musí udržať os aj vtedy, keď už elektronika vykonala svoju časť práce.