På datablad står PL och SIL ofta sida vid sida. En säkerhets-PLC kan vara märkt SIL 3 och PL e, precis som ett säkerhetsrelä eller en frekvensomriktare med STO. Men när en komplett säkerhetsfunktion i en maskin ska specificeras, verifieras och valideras används ändå ofta EN ISO 13849-1. Frågan ISO 13849 eller IEC 62061 handlar nämligen om betydligt mer än vilken beräkningsmetod som känns enklast.
En maskin är inte ett apparatskåp. När en skyddslucka öppnas måste en mekanisk kam påverka en givare, signalen behandlas av säkerhetslogiken och en kontaktor, ventil, drivfunktion eller broms faktiskt ändra maskinens fysiska tillstånd. Om ventilen kärvar, bromsen inte håller eller givaren aldrig påverkas spelar det ingen roll att säkerhets-PLC:n har ett imponerande certifikat.
Ett certifierat säkerhetsrelä stoppar inte maskinen. Det gör den kompletta säkerhetsfunktionen – från den utlösande händelsen till ett uppnått och bibehållet säkert tillstånd.
ISO 13849 eller IEC 62061: börja med funktionen, inte nivån
I många projekt börjar arbetet i fel ände. Först väljs säkerhets-PLC, ljusridå, relä eller frekvensomriktare. Därefter försöker man formulera en säkerhetsfunktion som passar de redan inköpta komponenterna.
Formuleringen ”öppning av skyddet stoppar maskinen” är inte en färdig specifikation. Vilka rörelser ska stoppas? Ska drivmomentet tas bort direkt, ska rörelsen bromsas kontrollerat eller ska en axel hållas aktivt i ett övervakat stillestånd? Vad händer med pneumatisk, hydraulisk och potentiell energi? Hur snabbt måste tillståndet nås, och hur länge ska det upprätthållas?
- STO tar säkert bort momentbildningen, men eliminerar inte nödvändigtvis rörelsen omedelbart. En axel kan fortsätta rulla ut.
- SS1 ger en kontrollerad inbromsning följd av STO.
- SS2 ger en kontrollerad inbromsning och övergår därefter till ett övervakat stillestånd.
- SOS övervakar och upprätthåller ett säkert stillestånd medan drivsystemet fortfarande är aktivt.
För en vertikal axel räcker det sällan att skriva ”STO”. När momentet försvinner fortsätter gravitationen att arbeta utan att invänta något godkännande från styrsystemet. Axeln kan behöva fångas av en mekanisk broms, en spärr, en lastbalansering eller en hydraulisk lösning.
PLr eller SIL beskriver hur tillförlitligt en funktion ska utföras. De beskriver inte vad funktionen ska göra.
EN ISO 13849-1 använder en säkerhetskravspecifikation, SRS, för att koppla riskbedömningen enligt ISO 12100 till den tekniska konstruktionen. För varje funktion behöver man bland annat ange:
- den utlösande händelsen,
- den avsedda reaktionen,
- det säkra tillstånd som ska uppnås och bibehållas,
- maximal svarstid och stopptid,
- berörda driftsätt och rörelser,
- beteendet vid energibortfall eller upptäckt fel,
- villkoren för återställning och återstart.
Först därefter är det meningsfullt att fastställa erforderlig prestandanivå, PLr, eller erforderlig SIL. Den uppnådda nivån ska möta eller överträffa kravet för just den specificerade funktionen.
Det är energi och dynamik som skadar människor – inte statusen på en bit i säkerhets-PLC:n.
Säkerhetsfunktionens gräns går inte vid apparatskåpet
I ett blockschema ser allt rent ut: ingång, logik och utgång. I den verkliga maskinen börjar funktionen ofta före den elektriska givaren. En skyddslucka måste först flytta en kam, rulle eller kolv. Slitage, glapp i gångjärn, felaktig geometri eller otillräcklig tvångsöppning kan göra att givaren inte påverkas trots att luckan är öppen.
Två kanaler och avancerad diagnostik hjälper inte om båda kanalerna får samma felaktiga information från en bristfällig mekanisk aktivering. Säkerhets-PLC:n ser kontakternas tillstånd, inte den fysiska verkligheten bakom dem.
Samma sak gäller på utgångssidan. En nollställd utgång är bara ett styrbeslut. Kontaktorn måste verkligen bryta effektkretsen, ventilen måste ställa om, trycket måste avlastas och bromsen måste bygga tillräcklig kraft. STO är inte en mekanisk broms, och en spänningslös ventilspole garanterar inte att pneumatiksystemet har nått ett säkert tillstånd.
Gränsen går där en fysisk händelse omvandlas till en fysisk säker reaktion – inte där företagets elavdelning lämnar över till mekanik eller pneumatik.
Det betyder inte att hela maskinens mekanik automatiskt ingår i den säkerhetsrelaterade delen av styrsystemet. En vanlig cylinder kan ligga utanför själva SRP/CS, medan ventilerna som styr energin ingår. Om cylinderenheten däremot har en integrerad spärr eller låsfunktion kan den utföra en säkerhetsrelaterad delfunktion och måste bedömas därefter.
Ett praktiskt gränstest är därför: Kan ett fel i delen leda till att händelsen inte upptäcks, att säkerhetsreaktionen uteblir eller att det säkra tillståndet inte bibehålls? Om svaret är ja måste delen ingå i säkerhetsbeviset, oavsett om den innehåller elektronik eller bara stål.
En säkerhets-PLC med SIL 3 ger inte automatiskt en SIL 3-funktion
En märkning som SIL 3 eller PL e anger vad en viss delsystemlösning klarar under specificerade förutsättningar. Nivån sprider sig inte genom installationen som 24 V matningsspänning.
I en typisk funktion finns minst tre delsystem: givare, logik och utgångselement. Varje del kan fallera. Säkerhets-PLC:n kan ta emot rätt signal, köra rätt program och slå från sina utgångar medan ventilen ändå kärvar eller kontaktorn svetsar. Ett felkonfigurerat återstartsvillkor kan dessutom tillåta ny rörelse direkt efter stoppet.
Certifikatet beskriver delsystemets förmåga. Maskinkonstruktören måste fortfarande visa den kompletta funktionens förmåga.
Detta syns tydligt i beräkningen av den genomsnittliga frekvensen för farligt fel per timme, PFHD. Kända värden för seriekopplade delsystem ska summeras. Anta att ingång, logik och utgång vardera har PFHD = 8 × 10−8 per timme. Varje delsystem ligger separat inom området för PL e, men den kompletta funktionen får:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 per timme
Det ligger inom området för PL d, inte PL e. Fler delsystem innebär fler möjliga punkter för farliga fel. Lösningen är inte att ”addera PL”, utan att konstruera en robust arkitektur med lämplig redundans, diagnostik, provning och skydd mot fel med gemensam orsak, CCF.
PL e + PL e + PL e behöver inte bli PL e. Nivån avgörs av hela arkitekturen och den sammanlagda PFHD, inte av den snyggaste raden i komponentlistan.
En säkerhetsfunktion kan omfatta flera tekniker
Här har EN ISO 13849-1 en tydlig praktisk styrka. Standarden är utformad för säkerhetsrelaterade delar av styrsystem som bygger på elektrisk, elektronisk, hydraulisk, pneumatisk och mekanisk teknik – eller en kombination av dessa.
En enda funktion kan exempelvis bestå av följande kedja:
skyddslucka → mekanisk kam → elektromekanisk lägesbrytare → säkerhetsrelä → pneumatisk ventil → mekanisk broms → säkert tillstånd
Maskinen bryr sig inte om att kedjan har konstruerats av tre olika avdelningar. Om kammen lossnar, ventilen inte ställer om eller bromsen inte håller har funktionen fallerat, även om den elektriska logiken har fungerat perfekt.
Maskinen delar inte upp säkerhetsfunktionen i el, pneumatik och mekanik. Den uppdelningen finns bara i våra ritningar och organisationer.
Det innebär inte att varje skruv eller fjäder får en egen prestandanivå. PL gäller ett delsystem och i slutänden den kompletta säkerhetsfunktionen. Men om en fjäder ska föra en ventil till säkert läge vid energibortfall måste man bedöma vad som händer om fjädern brister, tappar kraft, monteras fel eller inte övervinner ventilens friktion.
På samma sätt kan geometrin och infästningen hos en kam avgöra om en öppnad skyddslucka upptäcks. Avsaknad av programvara eller certifikat innebär inte avsaknad av säkerhetspåverkan.
En fjäder behöver inte ha ett eget PL e. Men om dess fel kan slå ut säkerhetsfunktionen måste felet ingå i analysen och valideringen.
ISO 13849 använder de data som faktiskt finns i maskinindustrin
Moderna säkerhets-PLC:er, ljusridåer och frekvensomriktare levereras ofta med PFHD, PL, SIL, svarstider och tydliga användningsbegränsningar. För kontaktorer, ventiler, brytare, bromsar och mekaniska delar ser dokumentationen annorlunda ut. Där finns ofta B10D, maximalt antal cykler, belastningsvillkor eller uppgifter från en produktstandard.
EN ISO 13849-1 kan använda båda typerna av underlag. Ett färdigvaliderat delsystem med angivet PL eller SIL och PFHD kan behandlas som ett block, förutsatt att tillverkarens villkor följs. För mekaniskt slitande komponenter kan B10D kombineras med den förväntade årliga manöverfrekvensen, nop, för att bestämma MTTFD.
ISO 13849 är praktisk inte för att den kräver mindre bevisning, utan för att bevisningen kan byggas med de data som faktiskt förekommer i maskintekniken.
En ventil som manövreras fem gånger per skift och en identisk ventil som manövreras varannan sekund har samma artikelnummer men inte samma tillförlitlighet i den aktuella maskinen. Belastning, miljö, tryckluftskvalitet, cykelfrekvens, smörjning och underhåll påverkar resultatet.
Standarden kombinerar därför kvantitativa faktorer som MTTFD, diagnostisk täckningsgrad, CCF och arkitektur med kvalitativa krav. Dit hör förutsebart beteende vid fel, systematiska fel, programvara, miljövillkor, beprövade säkerhetsprinciper och validering av identifierade felmoder.
Även feluteslutning måste hanteras med disciplin. Att skriva ”delen går inte sönder” är ingen analys. Man måste ange vilket specifikt fel som utesluts och motivera varför sannolikheten är försumbar utifrån konstruktion, material, belastning, miljö och kända fysikaliska samband.
Feluteslutning är inte frånvaro av analys. Det är ett krävande analysresultat som måste vara specifikt, tekniskt motiverat och dokumenterat.
ISO 13849 eller IEC 62061 när funktionen innehåller pneumatik?
Det gamla påståendet att IEC 62061 bara gäller elektriska och programmerbara elektroniska system är inte längre korrekt. 2021 års utgåva breddade tillämpningen så att även icke-elektriska tekniker kan ingå i säkerhetsfunktionens delsystem.
En pneumatisk ventil, mekaniskt påverkad brytare eller broms utesluter alltså inte en SIL-baserad analys. Men ett bredare formellt tillämpningsområde skapar inte automatiskt tillförlitlighetsdata för fjädrar, tätningar, slider och mekaniska länkar.
IEC 62061 kan omfatta icke-elektriska delsystem. Det betyder inte att deras feldata, slitagemodeller och användningsvillkor uppstår av sig själva.
Ta en funktion med nödstopp, säkerhets-PLC, en 5/2-ventil och en cylinder. I IEC 62061 bedöms ventilen och dess relevanta hjälpdelar som ett utgående delsystem. Analysen måste behandla farliga felmoder, exempelvis:
- fastkärning i öppet läge,
- otillräcklig återgångskraft,
- internläckage som upprätthåller farligt tryck,
- för lång omställningstid,
- fel som inte upptäcks av diagnostiken.
Om tillverkaren lämnar validerade delsystemsdata kan dessa användas. Annars krävs en trovärdig modell baserad på komponentdata, provning, arkitektur, diagnostik, underhåll och användningsvillkor. Om underlaget saknas begränsar delsystemet hela säkerhetsfunktionen.
IEC TS 63394:2023 kompletterar detta område med vägledning för mekanisk, pneumatisk och hydraulisk teknik. Sådana delar följer inte alltid samma enkla modell med konstant felfrekvens som ofta används för elektronik. De slits, ändrar egenskaper över tid och påverkas kraftigt av cykler och miljö.
Pneumatik utesluter inte SIL. Den utesluter däremot föreställningen att det räcker att beräkna elektroniken och sedan betrakta funktionen som färdig.
En komponent med SIL tvingar inte hela funktionen till IEC 62061
En vanlig missuppfattning är att en säkerhets-PLC eller frekvensomriktare med SIL 3 gör IEC 62061 obligatorisk för hela funktionen. Så är det inte. EN ISO 13849-1 tillåter användning av validerade delsystem som har bedömts enligt exempelvis IEC 62061, IEC 61508, relevanta produktstandarder eller ISO 13849.
En funktion som slutligen redovisas med PL kan därför innehålla en ljusridå med SILCL 3, en säkerhets-PLC med SIL 3, en STO-funktion med SIL 3, en kontaktor beskriven med B10D och en pneumatisk ventil bedömd enligt ISO 13849.
Ett SIL 3-certifikat väljer inte analysmetod åt konstruktören. Det anger delsystemets gränser och villkor för säker användning.
Det behövs normalt inte heller någon påhittad kategori för ett delsystem som redan har validerats enligt IEC 62061 eller IEC 61508. Kategori är inte ett annat ord för SIL. Den beskriver en viss struktur och ett visst beteende vid fel. För ett certifierat block är det viktigare att använda rätt PFHD, svarstid, konfiguration, provningsintervall och användningsbegränsningar.
PL och SIL möts vid PFHD – men metoderna är inte identiska
För frekvent eller kontinuerlig användning finns en korrelation mellan nivåerna: PL b och PL c motsvarar området för SIL 1, PL d motsvarar SIL 2 och PL e motsvarar SIL 3. PL a saknar motsvarande SIL-nivå.
Detta är inte en generell likhet mellan metoderna. Korrelationen gäller intervallen för PFHD. ISO 13849 använder bland annat kategorier, MTTFD, diagnostisk täckningsgrad, CCF och krav på beteende vid fel. IEC 62061 har egna krav på arkitekturbegränsningar, feltolerans, systematisk integritet, programvara och utvecklingsprocess.
PL d är inte tekniskt identiskt med SIL 2. Nivåerna korrelerar genom sina PFHD-intervall, men vägen till ett godkänt säkerhetsbevis är olika.
En felaktigt placerad ljusridå blir inte säker för att den har SILCL 3. En STO-funktion med SIL 3 löser inte ett problem som kräver kontrollerad inbromsning. En säkerhets-PLC med SIL 3 kompenserar inte för ett program som tillåter förbikoppling i inställningsdrift. Varje block måste både vara korrekt dimensionerat och korrekt integrerat.
ISO 12100, SRS och den verkliga början på konstruktionen
I riskbedömningar ser man ofta åtgärden ”använd förreglat skydd”. Det är en rimlig riskreducerande princip, men ännu ingen teknisk säkerhetsfunktion. Formuleringen säger inte vad som ska detekteras, vilka rörelser som ska stoppas, vilken stopptid som accepteras eller hur lagrad energi ska hanteras.
ISO 12100 identifierar var och varför ytterligare riskreducering behövs. Om riskreduceringen är beroende av ett styrsystem måste resultatet omvandlas till konkreta säkerhetsfunktioner. SRS blir då länken mellan riskbedömning och konstruktion enligt ISO 13849 eller IEC 62061.
Det är också riktningen i standardiseringsarbetet kring en kommande utgåva av ISO 12100. Relationen mellan ISO 12100 och ISO 13849-1, som bland annat behandlas i ISO/TR 22100-2, förs närmare den huvudsakliga konstruktionsprocessen. Projektstatus och slutlig standardtext måste alltid kontrolleras, men den tekniska riktningen är tydlig: säkerhetsfunktionen ska specificeras som en direkt följd av riskbedömningen, inte läggas till efteråt.
Riskbedömningen slutar inte med raden ”montera ett förreglat skydd”. Där börjar arbetet med att specificera den säkerhetsfunktion som skyddet ska utlösa.
Den sammanhängande processen bör därför vara:
fara → risksituation → riskreducerande åtgärd → säkerhetsfunktion → utlösande händelse → reaktion → säkert tillstånd → PLr eller SIL → arkitektur → verifiering → validering
Om olika personer gör riskbedömning, mekanisk konstruktion och automation blir den här kedjan särskilt viktig. Annars kan ”stopp” betyda frånslagen PLC-utgång för en person, borttaget drivmoment för en annan och fullständigt behärskad energi för en tredje.
ISO 13849 eller IEC 62061: så gör du ett försvarbart val
ISO 13849 används ofta i maskiner inte bara för att kategorierna är välkända eller för att det finns etablerade beräkningsverktyg. Den stora praktiska fördelen är att en komplett säkerhetsfunktion kan beskrivas med en gemensam metod även när den passerar genom elektronik, kontaktorer, pneumatik, hydraulik och mekanik.
IEC 62061 kan vara ett utmärkt val, särskilt när funktionerna domineras av komplexa elektriska och programmerbara säkerhetssystem och när väldokumenterade delsystemsdata finns tillgängliga. Standarden kan även användas för blandade tekniker, men då måste de icke-elektriska delsystemen få ett trovärdigt tillförlitlighetsunderlag.
Ställ därför fyra frågor innan standard väljs:
- Vad ska funktionen faktiskt göra? Definiera händelse, reaktion, svarstid och säkert tillstånd.
- Vilka tekniker ingår? Följ kedjan från fysisk påverkan till fysisk riskreducering.
- Vilka data finns? Inventera PFHD, PL, SIL, SILCL, B10D, MTTFD, provningskrav och användningsbegränsningar.
- Vilken metod gör det möjligt att verifiera och validera hela kedjan utan konstgjorda luckor?
Välj alltså inte standard efter den dyraste komponentens certifikat. Välj den metod som ger det mest sammanhängande, spårbara och validerbara säkerhetsbeviset för hela funktionen.
Maskinen stannar inte vid certifikatet eller säkerhets-PLC:ns utgång. Den stannar först när hela säkerhetsfunktionen har uppnått och bibehållit det avsedda säkra tillståndet.