У контексті функціональної безпеки недостатньо, щоб функція безпеки машини спрацьовувала лише один раз. Вона має надійно виконувати свою функцію як за передбачуваних умов експлуатації, так і в разі виникнення несправностей.
Саме тут важливого значення набувають рівні ефективності захисту або PL. Рівень ефективності захисту (PL) характеризує здатність частин системи керування, пов’язаних із безпекою, виконувати визначену функцію безпеки. На практиці це допомагає інженерам визначити, чи забезпечує коло безпеки або його окрема частина необхідний рівень зниження ризику.
У цій статті стисло розглянуто основні параметри, за якими визначають рівень ефективності захисту (PL). Цей матеріал призначений як технічний посібник і не замінює оцінювання ризиків, валідації та перевірки відповідності стандартам з урахуванням особливостей конкретного проєкту.
Рівень ефективності захисту (PL) характеризує здатність кола безпеки виконувати функцію безпеки за передбачуваних умов. Передбачено п’ять рівнів ефективності захисту (PL):
У цій класифікації PL a відповідає найнижчому рівню ефективності захисту, а PL e — найвищому.
Рівні ефективності захисту (PL) визначають лише для повних кіл безпеки або їхніх окремих функціонально завершених частин. Рівні ефективності захисту (PL) не присвоюють окремим стандартним компонентам без урахування всієї функції безпеки та архітектури відповідного кола.
Перш ніж оцінювати рівень ефективності захисту (PL), необхідно провести оцінювання ризиків, пов’язаних із машиною. За результатами оцінювання ризиків визначають необхідний рівень зниження ризику для кожної функції безпеки.
На основі результатів оцінювання ризиків для кожного кола безпеки, яке реалізує функцію або підфункцію безпеки, визначають необхідний рівень ефективності захисту. Далі необхідно перевірити, чи відповідає досягнутий рівень ефективності захисту (PL) реалізованого кола встановленим вимогам.
Важливо дотримуватися такої послідовності:
1. Визначте небезпеку
2. Визначте необхідний рівень ефективності захисту
3. Визначте необхідну функцію безпеки
4. Спроєктуйте коло безпеки або його окрему частину
5. Перевірте, чи відповідає досягнутий рівень ефективності захисту встановленим вимогам
6. Проведіть валідацію функції безпеки з урахуванням умов роботи машини
На досягнутий рівень ефективності захисту (PL) впливає низка кількісних і якісних параметрів. У наведеному нижче огляді розглянуто найважливіші з цих параметрів.
Структуру кола безпеки залежить від розташування та взаємозв’язків компонентів, засобів діагностики й заходів із забезпечення надійності. Ці структури поділяються на категорії від B до 4.
Категорія визначає стійкість кола безпеки до відмов і характер його роботи в разі виникнення відмови. Наприклад, архітектура системи може визначати, чи призведе одинична відмова до втрати функції безпеки, чи її буде виявлено та належним чином опрацьовано.
Показник середнього часу до небезпечної відмови або MTTFD враховує надійність компонентів, що використовуються в колі безпеки.
MTTFD стосується небезпечних відмов. Такі відмови можуть перешкоджати належному виконанню функції безпеки. Дані про надійність усіх компонентів, що впливають на безпеку, необхідно враховувати під час оцінювання всього кола безпеки.
Діагностичне покриття або DC характеризує ефективність засобів діагностики в колі безпеки.
Воно характеризує співвідношення кількості виявлених небезпечних відмов до кількості небезпечних відмов, що залишилися невиявленими. Загалом що вищий ризик, то ефективнішою має бути діагностика. Отже, діагностичні заходи можуть суттєво впливати на досягнутий рівень ефективності захисту (PL).
Відмови із загальної причини або CCF виникають, коли дві або більше окремих відмов спричинені однією причиною.
Це особливо важливо для багатоканальних кіл безпеки. Навіть якщо два канали спроєктовано незалежно один від одного, спільна причина, як-от несприятливий вплив навколишнього середовища, неправильне встановлення, хибні проєктні припущення або проблеми зі спільним джерелом живлення, може вплинути на обидва канали. Заходи із запобігання відмовам із загальної причини допомагають зменшити ймовірність одночасної відмови кількох каналів через одну й ту саму причину.
Необхідно оцінити поведінку кола безпеки в умовах виникнення відмов. Важливі несправності та відмови потрібно аналізувати за допомогою відповідних методів, зокрема:
Залежно від сфери застосування, категорії кола безпеки та вибраних компонентів для відповідності вимогам ISO 13849 можуть знадобитися додаткові конструктивні або діагностичні заходи.
Якщо до складу системи керування входить прикладне програмне забезпечення, пов’язане з безпекою, процес його розробки має передбачати заходи із запобігання відмовам.
Структурований підхід до розробки, наприклад V-подібна схема, допомагає організувати процеси формування специфікації, реалізації, верифікації та валідації. Мета — створити програмне забезпечення, яке легко читати, розуміти, тестувати й супроводжувати та яке містить якомога менше помилок.
Систематичні відмови не належать до випадкових відмов апаратного забезпечення. Такі відмови часто виникають через людський чинник, недоліки технологічних процесів або помилки проєктування.
Приклади:
План функціональної безпеки є одним із найважливіших інструментів запобігання систематичним відмовам. Визначає заходи для запобігання помилкам під час визначення технічних вимог, реалізації, верифікації, валідації та подальшого внесення змін до функцій безпеки.
Під час підсумкового оцінювання рівня ефективності захисту (PL) враховують усі відповідні параметри. Огляд має показати, як категорія кола безпеки, MTTFD, діагностичне покриття, заходи із запобігання відмовам із загальної причини, поведінка системи в разі відмов, якість програмного забезпечення та заходи із запобігання систематичним відмовам впливають на досягнутий рівень ефективності захисту (PL) функції безпеки.
Оцінювання рівня ефективності захисту (PL) не обмежується лише розрахунками. Це інженерне завдання із забезпечення безпеки, розв’язання якого залежить від конструкції машини та всіх умов її експлуатації.
На поведінку одного й того самого компонента можуть по-різному впливати функція безпеки, структура кола, засоби діагностики, програмне забезпечення, умови навколишнього середовища та концепція валідації. Саме тому кола безпеки слід оцінювати з урахуванням функцій або підфункцій безпеки загалом, а не окремих компонентів.
Festo надає виробникам машин компоненти для автоматизації, документацію та практичні знання щодо його застосування, які допомагають їм під час проєктування з урахуванням вимог безпеки. Остаточна відповідальність за оцінювання ризиків, реалізацію та валідацію залишається за виробником машини або командою інженерів.