Als het gaat om betrouwbaarheid, moet een machineveiligheidsfunctie meer doen dan één keer reageren. Zij moet betrouwbaar functioneren onder te voorziene gebruiksomstandigheden en foutomstandigheden.
Daar worden prestatielevels, ofwel PL, belangrijk. Een prestatieniveau specificeert het vermogen van veiligheidsgerelateerde onderdelen van een controlesysteem om een gedefinieerde veiligheidsfunctie uit te voeren. In de praktijk helpt dit ingenieurs bij de evaluatie of een veiligheidsschakeling of veiligheidssubsysteem het vereiste niveau van risicoreductie biedt.
Dit artikel biedt u een compact overzicht van de belangrijkste parameters die worden gebruikt om het prestatieniveau te bepalen. Het is bedoeld als technische leidraad, niet als vervanging voor een project-specifieke risicoanalyse, validatie of normbeoordeling.
Een prestatieniveau beschrijft het vermogen van een veiligheidschakeling om een veiligheidsfunctie uit te voeren onder voorzienbare omstandigheden. Prestatieniveaus worden gespecificeerd als vijf afzonderlijke niveaus:
PL a vertegenwoordigt het laagste niveau en PL e het hoogste niveau binnen deze classificatie.
Prestatieniveaus worden alleen bepaald voor volledige veiligheidschakelingen of volledige veiligheidssubschakelingen. Ze worden niet toegewezen aan geïsoleerde normcomponenten zonder rekening te houden met de volledige veiligheidsgerelateerde functie en schakelingsarchitectuur.
Voordat een prestatieniveau kan worden geëvalueerd, moet het machinerisico worden beoordeeld. De risicobeoordeling bepaalt het vereiste niveau van risicoreductie voor elke veiligheidsfunctie.
Op basis van die risicobeoordeling wordt een vereist prestatieniveau toegewezen aan elke veiligheidsschakeling die een veiligheidsfunctie of veiligheidssubfunctie uitvoert. Het behaalde prestatieniveau van de geïmplementeerde schakeling moet vervolgens worden geëvalueerd aan de hand van die eis.
Deze volgorde is belangrijk:
1. Identificeer het gevaar
2. Bepaal het vereiste prestatieniveau
3. Bepaal de vereiste veiligheidsfunctie
4. Ontwerp de veiligheidsschakeling of veiligheidssubschakeling
5. Evalueer of het behaalde prestatieniveau aan de eis voldoet
6. Valideer de veiligheidsfunctie in de machinecontext
Meerdere kwantitatieve en kwalitatieve parameters beïnvloeden het behaalde prestatieniveau. Het volgende overzicht biedt uitleg over de belangrijkste.
De structuur van een veiligheidsschakeling hangt af van de indeling van de componenten, diagnostiek en betrouwbaarheidsmaatregelen. Deze structuren worden verdeeld in categorieën B tot 4.
De categorie beschrijft hoe resistent de veiligheidsschakeling is tegen fouten en hoe de schakeling zich gedraagt wanneer er een fout optreedt. Bijvoorbeeld, de architectuur kan beïnvloeden of een enkele fout kan leiden tot het verlies van de veiligheidsfunctie en of de fout wordt gedetecteerd en beheerd.
De Gemiddelde Tijd tot Gevaarlijk Falen, of MTTFD houdt rekening met de betrouwbaarheid van de componenten die worden gebruikt in de veiligheidschakeling.
MTTFD richt zich op gevaarlijke falen. Dit zijn fouten die kunnen verhinderen dat de veiligheidsfunctie correct wordt uitgevoerd. De betrouwbaarheidsgegevens van alle relevante veiligheidsgerelateerde componenten moeten worden beschouwd in de context van de volledige schakeling.
Diagnosedekking, of DC, meet de effectiviteit van de diagnose in de veiligheidsschakeling.
Het beschrijft het aandeel gevaarlijke fouten dat kan worden gedetecteerd in vergelijking met de gevaarlijke fouten die onopgemerkt blijven. Over het algemeen vereist een hoger risico effectievere diagnose. Diagnosemaatregelen kunnen daarom een grote invloed hebben op het behaalde prestatieniveau.
Uitval als gevolg van gemeenschappelijke factoren, of CCF, treedt op wanneer twee of meer afzonderlijke fouten worden veroorzaakt door hetzelfde probleem.
Dit is vooral relevant voor meerkanaals veiligheidschakelingen. Zelfs als twee kanalen afzonderlijk worden ontworpen, kan een gemeenschappelijke oorzaak zoals omgevingsstress, een foutieve installatie, ongeschikte constructieaannames of een gedeeld leveringsprobleem beide kanalen beïnvloeden. Maatregelen tegen uitval als gevolg van gemeenschappelijke factoren helpen om de waarschijnlijkheid te verlagen dat meerdere kanalen om dezelfde reden uitvallen.
Het gedrag van een veiligheidschakeling onder fout-condities moet worden geëvalueerd. Belangrijke fouten en storingen moeten worden geanalyseerd met behulp van geschikte methodes zoals:
Afhankelijk van de toepassingen, schakelingcategorie en geselecteerde componenten kunnen aanvullende constructie- of diagnosemaatregelen nodig zijn om aan de ISO 13849 vereisten te voldoen.
Indien veiligheidsgerelateerde gebruikerssoftware deel uitmaakt van het controlesysteem, moet het productontwikkelingsproces maatregelen omvatten om fouten te voorkomen.
Een gestructureerd ontwikkelingsmodel, zoals het V-model, kan ondersteuning bieden bij specificatie, implementatie, verificatie en validatie. Het doel is software die leesbaar, begrijpelijk, testbaar, onderhoudbaar en zover als mogelijk vrij van fouten is.
Systematische fouten zijn geen willekeurige hardwarefouten. Ze zijn vaak het gevolg van menselijke, procesgerelateerde of constructiegerelateerde oorzaken.
Voorbeelden zijn onder andere:
Een betrouwbaarheidssplan is een van de belangrijkste gereedschappen om systematische fouten aan te pakken. Het definieert maatregelen om foutieve specificatie, implementatie, verificatie, validatie of latere modificatie van veiligheidsgerelateerde functies te voorkomen.
De uiteindelijke prestatieniveau-evaluatie brengt alle relevante parameters samen. Het overzicht moet laten zien hoe de schakelingcategorie, MTTFD, diagnostische dekking, maatregelen voor uitval als gevolg van gangbare fouten, foutgedrag, softwarekwaliteit en systematische uitvalmaatregelen bijdragen aan het behaalde PL van de veiligheidsfunctie.
Het evalueren van het prestatieniveau is niet slechts een rekenoefening. Het is een taak binnen de veiligheidsengineering die afhankelijk is van de volledige machinecontext.
Dezelfde component kan verschillend functioneren afhankelijk van veiligheidsfunctie, schakelingsstructuur, diagnose, software, omgeving en validatieconcept. Daarom moeten veiligheidsgerelateerde schakelingen worden geëvalueerd in relatie tot de algemene functies of subfuncties, niet de geïsoleerde componenten.
Festo biedt machinebouwers automatiseringscomponenten, documentatie en toepassingskennis die hen kunnen ondersteunen tijdens veiligheidsgerelateerd designwerk. De uiteindelijke verantwoordelijkheid voor risicoanalyse, implementatie en validatie ligt bij de machinebouwer of het engineeringteam.