Pri funkcionalni varnosti mora varnostna funkcija stroja narediti več kot se le enkrat odzvati. Zanesljivo mora delovati v predvidljivih obratovalnih pogojih in v pogojih napak.
Tam postanejo ravni zmogljivosti (Performance Levels) oziroma PL pomembni. Raven zmogljivosti določa sposobnost varnostnih delov krmilnega sistema, da izvedejo opredeljeno varnostno funkcijo. V praksi to pomaga inženirjem oceniti, ali varnostni tokokrog ali varnostni pomožni tokokrog zagotavljata zahtevano raven zmanjšanja tveganja.
Ta članek ponuja kratek pregled glavnih parametrov, ki se uporabljajo za določanje ravni zmogljivosti (Performance Level). Namenjen je kot tehnični priročnik in ne kot zamenjava za oceno tveganja, validacijo ali pregled standardov za specifični projekt.
Raven zmogljivosti opisuje zmožnost varnostnga tokokroga, da izvaja varnostno funkcijo pod predvidljivimi pogoji. Ravni zmogljivosti določene kot pet ločenih ravni:
PL a predstavlja najnižjo raven, PL e pa najvišjo raven znotraj te klasifikacije.
Ravni zmogljivosti so določene samo za celotne varnostne tokokroge ali celotne varnostne pomožne tokokroge Niso dodeljeni izoliranim standardnim komponentam brez upoštevanja celotne varnostne funkcije in arhitekture tokokroga.
Preden se lahko oceni raven zmogljivosti, je treba oceniti tveganje stroja. Ocena tveganja določa zahtevano raven zmanjšanja tveganja za vsako varnostno funkcijo.
Na podlagi te ocene tveganja se vsakemu varnostnemu tokokrogu, ki izvaja varnostno funkcijo ali delno varnostno funkcijo, dodeljena zahtevana raven zmogljivosti. Doseženo raven zmogljivosti izvedenega tokokroga mora nato biti ocenjena glede na to zahtevo.
To zaporedje je pomembno:
1. Prepoznajte nevarnost
2. Določite zahtevane ravni zmogljivosti
3. Določite zahtevane varnostne funkcije
4. Načrtujte varnostni tokokrog ali delni varnostni tokokrog
5. Ocenite, ali dosežena raven zmogljivosti izpolnjuje zahteve
6. Preverite varnostno funkcijo v sistemu troja
Na doseženo raven zmogljivosti vpliva več kvantitativnih in kvalitativnih parametrov. Naslednji pregled pojasnjuje najpomembnejše.
Struktura varnostnega tokokroga je odvisna od razporeditve komponent, diagnostike in ukrepov za zanesljivost. Te strukture so razdeljene v kategorije B do 4.
Kategorija opisuje, kako odporen ne varnostni tokokrog vezje proti napakam in kako se tokokrog obnaša, ko pride do napake. Arhitektura lahko na primer vpliva na to, ali ena sama napaka privede do izgube varnostne funkcije ali pa je napaka zaznana in obvladana.
Povprečni čas do nevarne odpovedi, ali MTTFD upošteva zanesljivost komponent, uporabljenih v varnostnem tokokrogu.
MTTFD se osredotoča na nevarne odpovedi. To so okvare, ki lahko preprečijo pravilno izvajanje varnostne funkcije. Podatke o zanesljivosti vseh ustreznih komponent, povezanih z varnostjo, je treba upoštevati v okviru celotnega tokokroga.
Diagnostična pokritost, ali DC, meri učinkovitost diagnostike v varnostnem tokokrogu.
Opisuje delež nevarnih odpovedi, ki jih je mogoče zaznati, v primerjavi z nevarnimi odpovedmi, ki ostanejo nezaznane. Splošno velja, da večje tveganje zahteva učinkovitejšo diagnostiko. Diagnostični ukrepi lahko zato pomembno vplivajo na doseženo raven zmogljivosti.
Odpovedi zaradi skupnega vzroka, ali CCF, se pojavijo, ko dve ločeni napaki ali več povzroči isti vir težave.
To je še posebej pomembno za večkanalne varnostne tokokroge. Tudi če sta kanala zasnovana ločeno, lahko skupni vzrok, kot so okoljski stres, nepravilna namestitev, neustrezne oblikovalske predpostavke ali težava s skupno oskrbo, vplivajo na oba kanala. Ukrepi proti odpovedim zaradi skupnega vzroka pomagajo zmanjšati verjetnost, da bi več kanalov odpovedalo iz istega razloga.
Potrebno je oceniti obnašanje varnostnega tokokroga pri pogojih napake. Pomembne napake in odpovedi je treba analizirati z ustreznimi metodami, kot so:
Odvisno od uporabe, kategorije tokokroga in izbranih komponent so lahko potrebni dodatni načrtovalski ali diagnostični ukrepi za izpolnjevanje zahtev standarda ISO 13849.
Če je uporabniška programska oprema, povezana z varnostjo, del krmilnega sistema, mora razvojni proces vključevati ukrepe za preprečevanje napak.
Strukturiran razvojni model, kot je model V, lahko podpira specifikacijo, izvedbo, preverjanje in validacijo. Cilj je programska oprema, ki je berljiva, razumljiva, se lahko testira, vzdrževana in čim bolj brez napak.
Sistematične odpovedi niso naključne odpovedi strojne opreme. Pogosto so posledica vzrokov, povezanih z ljudmi, procesi ali načrtovanjem.
Primeri vključujejo:
Načrt funkcionalne varnosti je eno najpomembnejših orodij za obravnavanje sistematičnih odpovedi. Določa ukrepe za preprečevanje nepravilne specifikacije, izvedbe, preverjanja, potrjevanja ali poznejših sprememb varnostnih funkcij.
Končna ocena ravni zmogljivosti združuje vse ustrezne parametre. Pregled mora prikazovati, kako kategorija vezja, MTTFD, diagnostična pokritost, ukrepi proti odpovedim s skupnim vzrokom, obnašanje ob napakah, kakovost programske opreme in ukrepi proti sistematičnim odpovedim prispevajo k doseženemu PL varnostne funkcije.
Ocenjevanje ravni zmogljivosti ni le računska vaja. Gre za nalogo varnostnega inženiringa, ki je odvisna od celotnega konteksta stroja.
Ista komponenta se lahko obnaša različno glede na varnostno funkcijo, strukturo vezja, diagnostiko, programsko opremo, okolje in koncept potrjevanja. Zato je treba tokokroge, povezane z varnostjo, ocenjevati glede na celotne funkcije ali podfunkcije, ne pa glede na posamezne komponente.
Festo proizvajalcem strojev zagotavlja komponente za avtomatizacijo, dokumentacijo in aplikacijsko znanje, ki jim lahko pomagajo pri načrtovanju na področju varnosti. Končna odgovornost za oceno tveganja, izvedbo in preverjanje ostaja na proizvajalcu stroja ali inženirske ekipe.