Veiligheidsrelais en veiligheids-PLC — periodieke proof test volgens IEC 61508

De gids over functionele veiligheid — SIL versus PL behandelt hoe een veiligheidsfunctie wordt geclassificeerd bij het ontwerp. Dit artikel behandelt wat daarna, gedurende de gebruiksfase, periodiek moet gebeuren om die classificatie ook daadwerkelijk geldig te houden: de proof test die IEC 61508 voorschrijft voor elk veiligheidsrelais en elke veiligheids-PLC die in een veiligheidsfunctie is opgenomen.

Waarom automatische diagnostiek niet alles vangt

Een modern veiligheidsrelais of veiligheids-PLC voert doorlopend interne diagnostiek uit — dit is de diagnostische dekking (DC): het percentage van de gevaarlijke faalvormen dat het systeem zelf, automatisch en zonder handmatig ingrijpen, detecteert. Geen enkel systeem haalt echter 100% diagnostische dekking. Er blijft altijd een restcategorie van gevaarlijke, onopgemerkte fouten over — een contact dat is vastgelast maar waarvan de status niet wordt teruggelezen, een relais dat mechanisch traag is geworden zonder dat dit elektrisch detecteerbaar is. Deze restfouten blijven onzichtbaar totdat de veiligheidsfunctie daadwerkelijk wordt aangesproken, en juist dat moment — een noodstop, een lichtscherm dat wordt onderbroken — is het moment waarop de fout niet meer acceptabel is.

Wat een proof test toevoegt

De proof test is een periodieke, doorgaans handmatige of halfautomatische test die specifiek is ontworpen om die resterende, door de diagnostiek gemiste faalvormen alsnog op te sporen — bijvoorbeeld door de noodstopketen daadwerkelijk te bedienen en te controleren dat de aangestuurde vermogenscontactoren binnen de gespecificeerde tijd daadwerkelijk afvallen, in plaats van alleen het statussignaal van de veiligheids-PLC te controleren.

Let op: IEC 61508 onderscheidt de proof test expliciet van de automatische online-diagnostiek. Een systeem met een hoge diagnostische dekking (bijvoorbeeld 99%) heeft nog steeds een proof test nodig voor de resterende 1% — de diagnostische dekking vermindert de noodzaak van een proof test niet tot nul, maar verlengt in de praktijk wel het toelaatbare proof test-interval.

Proof test-interval en PFDavg

Het proof test-interval is direct gekoppeld aan de PFDavg (gemiddelde waarschijnlijkheid van gevaarlijk falen op aanvraag) die nodig is om de vereiste SIL te onderbouwen: een langer interval tussen proof tests laat gevaarlijke, onopgemerkte fouten langer onopgemerkt bestaan, wat de PFDavg verhoogt en de effectieve SIL kan ondermijnen — ook als het systeem bij oplevering formeel aan de vereiste SIL voldeed. Het proof test-interval is daarom geen vrije onderhoudskeuze, maar een parameter die is meegenomen in de oorspronkelijke SIL-berekening van de veiligheidsfunctie.

Proof test-dekking: ook niet altijd 100%

Naast het interval is ook de proof test-dekking relevant: het percentage van de gevaarlijke faalvormen dat de proof test zelf daadwerkelijk detecteert. Een proof test die alleen de statusindicatie van een relais controleert zonder de daadwerkelijke schakelfunctie te beproeven, heeft een lagere dekking dan een test die de volledige keten — van sensor tot aangestuurd vermogenscontact — functioneel doorloopt. Een proof test met een dekking die lager is dan bij het ontwerp van de veiligheidsfunctie is aangenomen, ondermijnt de onderbouwde PFDavg op dezelfde manier als een te lang interval.

Praktische relevantie

Bij het opstellen van een onderhoudsplan voor een machine met een veiligheids-PLC of veiligheidsrelais is het van belang het door de fabrikant of systeemintegrator gespecificeerde proof test-interval en de bijbehorende testprocedure exact te volgen, en niet te vertrouwen op de automatische zelfdiagnostiek alleen — ook een systeem met een hoge diagnostische dekking blijft afhankelijk van een tijdig uitgevoerde, functioneel volledige proof test om de onderbouwde SIL in de praktijk waar te maken.

Veelgemaakte fouten

1. De proof test overslaan omdat het veiligheidssysteem een hoge automatische diagnostische dekking heeft, terwijl juist de resterende, niet-gedetecteerde faalvormen de reden zijn dat de proof test nodig blijft.
2. Een proof test uitvoeren die alleen de statusindicatie controleert, zonder de daadwerkelijke vermogensschakeling functioneel te beproeven, wat de effectieve testdekking verlaagt.
3. Het proof test-interval verlengen zonder herberekening van de PFDavg, waardoor de onderbouwde SIL in de praktijk niet meer wordt gehaald ondanks een schijnbaar onveranderde configuratie.
4. Geen traceerbaar logboek van uitgevoerde proof tests bijhouden, waardoor bij een incident niet kan worden aangetoond dat de veiligheidsfunctie volgens het onderbouwde interval is getest.

Gerelateerd

• Functionele veiligheid — SIL versus PL
• ISO 13849-1 — Performance Levels
• Noodstop — periodieke functietest volgens ISO 13850 / IEC 60204
• Machineveiligheid — IEC 60204