Na kataloških listih PL in SIL brez težav živita drug ob drugem. Varnostni PLC ima SIL 3 in PL e, podobno varnostni rele, svetlobna zavesa ali pogon s funkcijo STO. Toda ko je treba opisati, izračunati in validirati celotno varnostno funkcijo stroja, se veliko pogosteje uporablja EN ISO 13849-1. Pri odločitvi ISO 13849 ali IEC 62061 razlog ni samo lažji izračun. Ključna prednost je možnost, da v isti dokaz varnosti vključimo električne, elektronske, pnevmatske, hidravlične in mehanske dele.
Stroj namreč ni električna omara. Odpiranje varovala lahko prek odmikača premakne kolešček položajnega stikala. Signal obdela varnostni rele ali PLC, nato pa mora ventil dejansko odvesti tlak, vzmet prestaviti drsnik in zavora zadržati navpično os. To ni zbirka nepovezanih zaščit. To je en sam tok dogodkov, ki mora stroj pripeljati v varno stanje in ga tam obdržati.
Certifikat releja ne ustavi stroja. Ustavi ga pravilno zasnovana, izvedena in validirana varnostna funkcija.
Če se ventil zatakne, odmikač ne doseže stikala, vzmet poči ali zavora ne razvije potrebne sile, funkcija odpove. Dejstvo, da je logični del certificiran za SIL 3, fizike ne zanima.
Vprašanje o izbiri standarda je pogosto postavljeno prezgodaj. Najprej določite dogodek, reakcijo in varno stanje; šele nato izberite PL ali SIL.
ISO 13849 ali IEC 62061: najprej opredelite funkcijo
V številnih projektih se vrstni red obrne. Najprej se izbere varnostni PLC, rele, svetlobna zavesa ali pogon s STO. Nato se okoli kupljenih naprav napiše opis funkcije. Shema je videti prepričljivo: dva kanala, diagnostika, PL e, SIL 3. Še vedno pa ni jasno, kaj mora stroj ob nevarnosti fizično narediti.
Najprej varnostna funkcija. Šele nato PL, SIL, arhitektura in komponente.
Trditev »odpiranje varovala ustavi stroj« je naslov, ne specifikacija. Zaustavitev lahko pomeni več povsem različnih odzivov:
- STO varno izključi navor, vendar gibanje zaradi vztrajnosti lahko nadaljuje prosti iztek;
- SS1 najprej nadzorovano zavira, nato aktivira STO;
- SS2 nadzorovano ustavi gibanje in preide v nadzorovano varno mirovanje brez prehoda v STO;
- SOS aktivno vzdržuje in nadzoruje varen mirujoči položaj;
- zahtevnejša funkcija lahko zaporedno ustavlja osi, zapira ventile, odvaja tlak in vključuje mehanske zavore.
»Stroj se ustavi« ni varnostna funkcija. Lahko pomeni prosti iztek, nadzorovano zaviranje ali aktivno zadržanje položaja, posledice pa so bistveno različne.
Specifikacija varnostnih zahtev oziroma SRS mora za vsako funkcijo določiti najmanj sprožilni dogodek, zahtevani odziv, varno stanje, čas odziva, aktivne načine delovanja, ravnanje ob napaki in pogoje ponovnega zagona. Določiti mora tudi, kako se varno stanje ohranja po izpadu energije ali zaznani okvari.
Pri navpični osi ni dovolj napisati, da se izključi navor. Kaj se zgodi z bremenom? Ali ga drži mehanska zavora, protipovratni ventil ali uravnoteženje? Kako hitro se mora zavora vključiti? Ali bo zadržala os tudi ob povratku energije? Gravitacija ne čaka na dovoljenje PLC-ja.
Šele ko je odziv jasen, določimo zahtevano raven zmogljivosti PLr ali zahtevano stopnjo celovitosti varnosti SIL. PLr ne opisuje, kaj mora funkcija narediti. Pove, kako zanesljivo mora to narediti. Doseženi PL mora zahtevani PLr doseči ali preseči.
Nevarna sta energija in dinamika stroja, ne vrednost bita v PLC-ju.
Meja varnostne funkcije ne poteka po robu električne omare
Na blokovni shemi je vse urejeno: vhod, logika, izhod. V resničnem stroju se težave začnejo že pred električnim signalom. Varovalo mora fizično premakniti odmikač, jeziček, kolešček ali bat stikala. Obrabljen tečaj, zrahljan nosilec, napačna točka proženja ali premajhen hod lahko povzročijo, da odprto varovalo ne spremeni stanja kontaktov.
PLC v takem primeru še vedno pravilno bere električne vhode. Težava je, da prebrani podatek ne ustreza dejanskemu stanju stroja. Redundanca vhodov in primerjava kanalov ne moreta popraviti slabe mehanike proženja.
Meja varnostne funkcije ne poteka po ohišju omare. Poteka od fizičnega dogodka do fizičnega učinka.
Enako velja na izhodni strani. Izhod PLC-ja v stanju nič še ni varno stanje stroja. Kontaktor mora dejansko prekiniti močnostni tokokrog, ventil se mora prestaviti, tlak mora pasti, zavora pa razviti zadostno silo. STO prav tako ni zavora: prepreči ustvarjanje navora, ne zagotovi pa nujno hitre ustavitve ali zadržanja bremena.
Varno stanje ne obstaja v programu. Obstaja v stroju.
To ne pomeni, da moramo celotno mehansko konstrukcijo vključiti v izračun PL. EN ISO 13849-1 razlikuje vhodni, logični in izhodni podsistem. Ventil je lahko del izhodnega podsistema, običajen pnevmatski valj pa praviloma ostane del pogonskega sistema zunaj SRP/CS. Kljub temu je treba pri validaciji preveriti, ali gibanje valja res preneha in ali varno stanje ostane ohranjeno.
Uporaben preskus meje je preprost: ali lahko odpoved tega elementa prepreči zaznavo nevarnega dogodka, zahtevani odziv ali ohranjanje varnega stanja? Če je odgovor pritrdilen, mora biti element vključen v dokaz varnosti, ne glede na to, ali vsebuje procesor ali je samo kos jekla.
PLC s SIL 3 ne ustvari funkcije SIL 3
Varnostni PLC je pogosto najbolje dokumentiran element sistema. Ima dva procesorja, notranjo diagnostiko, PFH in obsežen certifikat. Zato hitro nastane napačen sklep: če ima PLC SIL 3, ima SIL 3 tudi funkcija.
PLC s SIL 3 je podsistem z določeno zmožnostjo. Ni samodejno varnostna funkcija s SIL 3.
Tipična funkcija je sestavljena iz vhodnega podsistema, logike in izhodnega podsistema. Vsak lahko odpove. PLC lahko pravilno prebere signal in izklopi izhod, ventil pa ostane odprt. Kontaktor se lahko zvari. Neustrezno programiran ponovni zagon lahko gibanje takoj znova omogoči. Certifikat krmilnika ostane veljaven, funkcija pa ne deluje.
Pri znanih vrednostih PFH se prispevki podsistemov seštevajo. Predpostavimo tri zaporedno povezane podsisteme, od katerih ima vsak PFH 8 × 10−8 na uro. Posamično so v območju PL e, skupaj pa dobimo:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 na uro.
Rezultat je v območju PL d, ne PL e. Dodajanje zanesljivih komponent ne pomeni seštevanja njihovih oznak. Pomeni dodajanje mest, na katerih lahko nastane nevarna odpoved.
PL e + PL e + PL e ne da nujno PL e. Ravni se ne seštevajo; sešteva se PFH.
Visok PL se zato doseže z ustrezno strukturo: odstranjevanjem nepotrebnih kritičnih odvisnosti, smiselno redundanco, diagnostiko, preskušanjem in ukrepi proti odpovedim zaradi skupnega vzroka. Dva enaka kanala nista posebej koristna, če ju lahko hkrati onesposobi ista prenapetost, temperatura, programska napaka ali napačno speljan kabel.
Certifikat naprave tudi ne potrjuje pravilnosti njene integracije. Ne pove, ali je stikalo pravilno nameščeno, ali se zazna kratek stik med kanaloma, ali povratna zanka kontaktorjev res deluje in ali programska oprema v nastavitvenem načinu ne obide varnostne funkcije. Proizvajalec je ocenil svojo napravo, ne vašega stroja.
Ena varnostna funkcija, več tehnologij
Praktična moč EN ISO 13849-1 se pokaže, ko funkcija zapusti katalog in pride na stroj. Odpiranje varovala lahko premakne mehanski odmikač. Ta sproži elektromehansko stikalo, signal obdela varnostni rele, rele izključi tuljavo pnevmatskega ventila, povratna vzmet prestavi drsnik, tlak se odvede, zavora pa zadrži breme.
To je ena funkcija, čeprav jo sestavljajo mehanika, elektrika in pnevmatika. Organizacijske meje med konstrukterjem, avtomatikom in strokovnjakom za pnevmatiko za stroj nimajo pomena. Če katerikoli del ne opravi svoje naloge, varno stanje ni doseženo.
Stroj varnostne funkcije ne deli na avtomatiko, pnevmatiko in mehaniko. To delitev ustvarijo naši oddelki, ne fizika.
EN ISO 13849-1 se uporablja za z varnostjo povezane dele krmilnih sistemov ne glede na uporabljeno tehnologijo in vrsto energije. Zato dobro podpira funkcije, pri katerih se signal začne mehansko, obdela elektronsko in konča s pnevmatskim, hidravličnim ali mehanskim učinkom.
To seveda ne pomeni, da vsaka vzmet ali vijak dobi svoj PL. Ocenjujemo podsistem in nato celotno funkcijo. Če pa mora vzmet po izgubi napajanja prestaviti ventil v varen položaj, je treba obravnavati njen zlom, izgubo sile, napačno vgradnjo, onesnaženje in možnost, da ne premaga trenja ventila. Brez elektronike še ne pomeni brez vpliva na varnost.
ISO 13849 uporablja podatke, ki so pri strojih dejansko na voljo
Pri izbiri metode pogosto odločajo podatki oziroma njihovo pomanjkanje. Varnostni PLC in pogon s STO običajno prideta s PFH, PL, SIL, časom odziva in omejitvami uporabe. Za kontaktor, ventil, položajno stikalo ali mehansko zaporo pa proizvajalec pogosto navede B10D, dovoljeno število ciklov, obremenitev in pogoje delovanja.
EN ISO 13849-1 omogoča uporabo obeh vrst informacij. Certificiran podsistem lahko obravnavamo kot validiran blok, če ga uporabimo skladno z navodili. Za mehansko obrabljive komponente lahko uporabimo B10D, število operacij na leto in iz tega izpeljani srednji čas do nevarne odpovedi MTTFD.
Pri tem je delovni cikel ključen. Ventil, ki preklopi petkrat na izmeno, in enak ventil, ki preklopi vsaki dve sekundi, imata isto kataloško oznako, vendar ne enake zanesljivosti v stroju. Upoštevati je treba tudi dejanski nevarni način odpovedi: zataknitev, podaljšan čas preklopa, notranje puščanje ali nezadostno povratno silo.
ISO 13849 ni praktična zato, ker zahteva manj dokazov, temveč zato, ker omogoča sestaviti dokaz iz podatkov, ki v strojegradnji res obstajajo.
Priloge standarda ponujajo metode in značilne vrednosti za elektromehanske, mehanske, pnevmatske in hidravlične elemente. Te vrednosti niso brezpogojne. Uporabne so le ob izpolnjenih zahtevah standarda za proizvod, pravilnem izboru, ustreznem dimenzioniranju ter upoštevanju okoljskih in obratovalnih pogojev.
Enako previdno je treba ravnati pri izključitvi napake. Izključitev napake ni tehnični izraz za »to se ne bo zgodilo«. Navesti je treba točno določen način odpovedi in dokazati, zakaj je ob znanih obremenitvah, materialih, geometriji, okolju in načinu vgradnje njegova verjetnost zanemarljiva.
Izključitev napake ni odsotnost analize. Pogosto je njen najzahtevnejši rezultat.
Ocena PL zato združuje kvantitativne in kvalitativne vidike: kategorijo, MTTFD, diagnostično pokritost, odpovedi zaradi skupnega vzroka, sistematične napake, programsko opremo, preverjena varnostna načela, okoljske pogoje in validacijo. Ena sama številka PFH ne more dokazati pravilne montaže odmikača ali preprečiti namernega obvoda zapore.
ISO 13849 ali IEC 62061 pri neelektričnih tehnologijah
Dolga leta je veljala poenostavitev, da je IEC 62061 namenjena električnim, elektronskim in programirljivim elektronskim sistemom, ISO 13849 pa tudi pnevmatiki, hidravliki in mehaniki. Za starejše izdaje IEC 62061 je bilo takšno razlikovanje razumljivo. Od izdaje leta 2021 ni več pravilno.
IEC 62061:2021 je področje uporabe razširila tudi na neelektrične tehnologije. Prisotnost pnevmatskega ventila, mehanskega položajnega stikala ali zavore zato ne izključuje funkcije, ocenjene s SIL. Meja se je formalno premaknila, inženirska težava pa ni izginila.
Za neelektrični izhodni podsistem je še vedno treba dokazati, kako pogosto lahko nevarno odpove, kakšno arhitekturo ima, katera diagnostika je na voljo in kako obraba vpliva na rezultat. Če proizvajalec zagotovi validiran PFH ter omejitve uporabe, so podatki neposredno uporabni. Če jih ne, je treba model zgraditi iz preskusov, arhitekture, vzdrževanja, diagnostike in utemeljenih podatkov o komponentah.
Pri pnevmatskem ventilu moramo na primer obravnavati zataknitev v odprtem ali zaprtem položaju, notranje puščanje, izgubo sile povratne vzmeti in predolg čas preklopa. Ventil lahko navidezno še deluje, vendar ne dovolj hitro ali zanesljivo, da bi funkcija dosegla zahtevano varno stanje.
Tehnična specifikacija IEC TS 63394:2023 dopolnjuje to področje z modeli za mehanske, pnevmatske in hidravlične tehnologije. Elektroniko je pogosto mogoče obravnavati s približno konstantno intenzivnostjo odpovedi. Mehanski deli se obrabljajo glede na cikle, obremenitev, mazanje, onesnaženje in montažo. To niso postranske podrobnosti, temveč del modela zanesljivosti.
Pnevmatika ne izključuje več SIL. Še vedno pa izključuje udobno predstavo, da je dovolj izračunati elektroniko.
ISO 13849 je pri mešanih funkcijah ostala pogostejša predvsem zato, ker se že dolgo uporablja z B10D, MTTFD, kategorijami, preverjenimi komponentami in značilnimi načini odpovedi različnih tehnologij. Okoli nje so nastale knjižnice komponent, programska orodja, validacijski postopki, usposabljanja in preverjene arhitekture. Standard ni nujno tehnično boljši za vsak projekt, je pa v strojegradnji pogosto bolj neposredno uporaben.
Komponenta s SIL ne zahteva uporabe IEC 62061 za celotno funkcijo
Če imajo svetlobna zavesa, varnostni PLC in pogon deklariran SIL 3, ni treba celotne funkcije avtomatično oceniti po IEC 62061. EN ISO 13849-1 dovoljuje uporabo podsistemov, validiranih po EN ISO 13849-1, IEC 62061, seriji IEC 61508 ali ustreznem standardu za proizvod.
Funkcija, ocenjena s PL, lahko zato vključuje svetlobno zaveso s SILCL 3, PLC s SIL 3, pogon s STO s SIL 3, kontaktor z B10D in pnevmatski ventil, ocenjen po načelih ISO 13849. Podsistemov ni treba na silo prevesti v isto oznako. Potrebujemo njihove vrednosti PFH, omejitve uporabe, čase odziva in podatke, potrebne za oceno celotne funkcije.
Komponenta s SIL 3 ne izbira metode namesto projektanta. Zahteva pa, da jo uporabimo natančno v pogojih, za katere je bila njena zmožnost dokazana.
PL in SIL se srečata pri območjih PFH za način pogostega proženja ali neprekinjenega delovanja. PL b in PL c korelirata s SIL 1, PL d s SIL 2 ter PL e s SIL 3; PL a nima ustreznice v lestvici SIL. To je korelacija verjetnostnih območij, ne dokaz, da sta metodi enaki.
ISO 13849 poleg PFH ocenjuje kategorijo, MTTFD, diagnostično pokritost, odpovedi zaradi skupnega vzroka in vedenje strukture ob napaki. IEC 62061 ima svoja pravila za arhitekturne omejitve, toleranco napak, sistematično celovitost, programsko opremo in razvojni proces. Dve poti lahko pripeljeta v primerljivo območje PFH, ne uporabljata pa nujno enakih dokazov.
Certificiranemu podsistemu po IEC 62061 ali IEC 61508 zato ni treba izmišljati kategorije 3 ali 4. Kategorija ni drugo ime za SIL. Tak podsistem obravnavamo kot validiran blok z znanimi vhodi, izhodi, PFH, odzivnim časom, največjo zmožnostjo in pogoji integracije.
Tudi najvišja oznaka na seznamu komponent ne določa ravni funkcije. Če ima vhodni podsistem PL d, logika SIL 3 in izhod SIL 3, je lahko rezultat celotne funkcije PL d. Poleg omejitve najšibkejšega podsistema je treba upoštevati še vsoto PFH vseh podsistemov.
ISO 12100, SRS in začetek pravega projektiranja
Ocena tveganja se pogosto konča z ukrepom »uporabiti varovalo z zaporo«. To je smiselna odločitev o zmanjšanju tveganja, ni pa še projekt varnostne funkcije. Ne določa, kaj se zazna, kateri gibi se ustavijo, koliko časa je na voljo, kaj se zgodi s pnevmatsko ali potencialno energijo in kdaj je dovoljen ponovni zagon.
EN ISO 13849-1:2023 neposredno povezuje projektiranje SRP/CS z iterativnim postopkom zmanjševanja tveganja po ISO 12100. Kadar je zmanjšanje tveganja odvisno od krmilnega sistema, mora SRS prenesti rezultate ocene tveganja v tehnične zahteve za funkcijo.
V SRS se splošna zahteva spremeni v konkreten opis: odpiranje varovala je sprožilni dogodek, zahtevani odziv je na primer SS1 vseh nevarnih osi, po zaustavitvi se uporabi STO, navpična os se mehansko zadrži, zahtevani čas odziva je določen, ponovni zagon pa je dovoljen šele po zaprtju varovala, zavestni ponastavitvi in izpolnitvi vseh pogojev.
Razvojna smer, razvidna iz projekta ISO/DIS 12100.3 in predvidene nadomestitve poročila ISO/TR 22100-2, še jasneje povezuje oceno tveganja s specifikacijo varnostnih funkcij. To ne izključuje IEC 62061. Pomeni, da funkcije ne bi smele nastati šele med programiranjem ali zagonom.
Konec ocene tveganja ni zapis »uporabiti varovalo z zaporo«. Prav tam se začne projektiranje varnostne funkcije.
Smiselni tok projekta je zato neprekinjen: nevarnost, nevarna situacija, ukrep za zmanjšanje tveganja, varnostna funkcija, sprožilni dogodek, odziv, varno stanje, PLr ali SIL, arhitektura, preverjanje in validacija. Ločevanje ocene tveganja od projektiranja krmilja ustvarja vrzel, v kateri različni sodelujoči besedo »zaustavitev« razumejo vsak po svoje.
ISO 13849 ali IEC 62061: zakaj pri strojih prevladuje PL
Odgovor ni, da je ISO 13849 vedno lažja ali da je IEC 62061 rezervirana za zapletene sisteme. Oba standarda sta veljavni poti za načrtovanje funkcijske varnosti strojev, če ju uporabljamo znotraj njunih zahtev in z ustreznimi podatki.
PL je v strojegradnji pogostejši predvsem zato, ker ISO 13849 že dolgo ponuja skupen model za elektronske, elektromehanske, pnevmatske, hidravlične in mehanske podsisteme. Dobro podpira kombinacijo certificiranih blokov s PFH ter obrabljivih komponent z B10D, MTTFD, značilnimi načini odpovedi in preverjenimi varnostnimi načeli.
Pred izbiro standarda si je zato vredno postaviti štiri praktična vprašanja:
- Kaj mora funkcija fizično narediti in katero varno stanje mora doseči?
- Katere tehnologije in energije povezuje celoten tok?
- Kakšni podatki o zanesljivosti, diagnostiki in uporabi so dejansko na voljo?
- Katera metoda omogoča sklenjen in preverljiv dokaz brez umetne prekinitve pri PLC-ju ali tuljavi ventila?
IEC 62061 je lahko odlična izbira za dobro dokumentirane podsisteme, zahtevnejšo programirljivo elektroniko ali organizacije z vzpostavljenim procesom SIL. ISO 13849 je pogosto naravnejša pri tipičnih strojnih funkcijah, ki povezujejo stikala, kontaktorje, ventile, zavore in certificirano logiko. Pravilna izbira ni stvar pripadnosti standardu, ampak kakovosti dokaza za konkretno funkcijo.
Stroj se ne ustavi na certifikatu in ne na izhodu varnostnega PLC-ja. Ustavi se šele, ko celotna varnostna funkcija opravi svojo nalogo.
Zato mora projektant obravnavati celoten tok: zaznavo dogodka, logiko, krmiljenje energije, dejanski odziv stroja in ohranjanje varnega stanja. To je treba opredeliti, izračunati, preveriti in validirati. Šele takrat oznaka PL ali SIL opisuje resnično varnostno zmožnost funkcije, ne zgolj najbolj impresivnega izdelka v električni omari.