Przekaźniki bezpieczeństwa i sterowniki bezpieczeństwa PLC — okresowy proof test wg IEC 61508

Przewodnik o bezpieczeństwie funkcjonalnym — SIL kontra PL omawia, jak klasyfikowana jest funkcja bezpieczeństwa na etapie projektowania. Ten artykuł omawia, co następnie musi się okresowo dziać na etapie eksploatacji, aby ta klasyfikacja pozostała faktycznie ważna: proof test, który IEC 61508 nakazuje dla każdego przekaźnika bezpieczeństwa i każdego sterownika bezpieczeństwa PLC wchodzącego w skład funkcji bezpieczeństwa.

Dlaczego automatyczna diagnostyka nie wychwytuje wszystkiego

Nowoczesny przekaźnik bezpieczeństwa lub sterownik bezpieczeństwa PLC nieprzerwanie wykonuje wewnętrzną diagnostykę — to jest pokrycie diagnostyczne (DC): odsetek niebezpiecznych rodzajów uszkodzeń, które system wykrywa sam, automatycznie, bez ingerencji ręcznej. Żaden system nie osiąga jednak 100% pokrycia diagnostycznego. Zawsze pozostaje resztkowa kategoria niebezpiecznych, niewykrytych uszkodzeń — stycznik zespawany w pozycji zamkniętej, którego stanu nie odczytuje się zwrotnie, przekaźnik, który stał się mechanicznie powolny bez elektrycznej wykrywalności tego zjawiska. Te resztkowe uszkodzenia pozostają niewidoczne, dopóki funkcja bezpieczeństwa nie zostanie faktycznie wywołana, a to właśnie w tym momencie — zatrzymanie awaryjne, przerwanie kurtyny świetlnej — uszkodzenie staje się nieakceptowalne.

Co wnosi proof test

Proof test to okresowy, zwykle ręczny lub półautomatyczny test, zaprojektowany specjalnie do wykrywania tych pozostałych rodzajów uszkodzeń pomijanych przez diagnostykę — na przykład poprzez faktyczne uruchomienie łańcucha zatrzymania awaryjnego i sprawdzenie, czy sterowane styczniki mocy rzeczywiście się rozłączają w określonym czasie, zamiast sprawdzania jedynie sygnału stanu zgłaszanego przez sterownik bezpieczeństwa PLC.

Uwaga: IEC 61508 wyraźnie odróżnia proof test od automatycznej diagnostyki online. System o wysokim pokryciu diagnostycznym (np. 99%) nadal potrzebuje proof testu dla pozostałego 1% — pokrycie diagnostyczne nie zmniejsza potrzeby przeprowadzenia proof testu do zera, ale w praktyce wydłuża dopuszczalny interwał proof testu.

Interwał proof testu a PFDavg

Interwał proof testu jest bezpośrednio powiązany z PFDavg (średnim prawdopodobieństwem niebezpiecznego uszkodzenia na żądanie), potrzebnym do uzasadnienia wymaganego SIL: dłuższy interwał między proof testami pozwala niebezpiecznym, niewykrytym uszkodzeniom pozostawać niezauważonymi przez dłuższy czas, co zwiększa PFDavg i może podważyć faktyczny SIL — nawet jeśli system formalnie spełniał wymagany SIL przy uruchomieniu. Interwał proof testu nie jest więc dowolnym wyborem konserwacyjnym, lecz parametrem uwzględnionym w pierwotnym obliczeniu SIL funkcji bezpieczeństwa.

Pokrycie proof testu: też nie zawsze 100%

Oprócz interwału istotne jest również pokrycie proof testu: odsetek niebezpiecznych rodzajów uszkodzeń, które sam proof test faktycznie wykrywa. Proof test sprawdzający jedynie wskazanie stanu przekaźnika, bez rzeczywistego przetestowania funkcji przełączania, ma niższe pokrycie niż test funkcjonalnie przechodzący przez cały łańcuch — od czujnika do sterowanego styku mocy. Proof test o pokryciu niższym niż założono przy projektowaniu funkcji bezpieczeństwa podważa uzasadnioną wartość PFDavg tak samo jak zbyt długi interwał.

Znaczenie praktyczne

Przy sporządzaniu planu konserwacji dla maszyny ze sterownikiem bezpieczeństwa PLC lub przekaźnikiem bezpieczeństwa istotne jest dokładne przestrzeganie interwału proof testu i towarzyszącej mu procedury testowej określonej przez producenta lub integratora systemu, a nie poleganie wyłącznie na automatycznej samodiagnostyce — nawet system o wysokim pokryciu diagnostycznym wciąż zależy od terminowo przeprowadzonego, funkcjonalnie pełnego proof testu, aby faktycznie osiągnąć uzasadniony SIL.

Częste błędy

1. Pomijanie proof testu, ponieważ system bezpieczeństwa ma wysokie automatyczne pokrycie diagnostyczne, podczas gdy to właśnie pozostałe, niewykryte rodzaje uszkodzeń sprawiają, że proof test pozostaje konieczny.
2. Przeprowadzanie proof testu sprawdzającego jedynie wskazanie stanu, bez funkcjonalnego przetestowania rzeczywistego przełączania mocy, co obniża faktyczne pokrycie testu.
3. Wydłużanie interwału proof testu bez ponownego obliczenia PFDavg, przez co uzasadniony SIL faktycznie nie jest już osiągany, mimo pozornie niezmienionej konfiguracji.
4. Brak prowadzenia identyfikowalnego dziennika wykonanych proof testów, przez co po incydencie nie można wykazać, że funkcja bezpieczeństwa była testowana z uzasadnionym interwałem.

Powiązane

• Bezpieczeństwo funkcjonalne — SIL kontra PL
• ISO 13849-1 — poziomy zapewnienia bezpieczeństwa (Performance Levels)
• Zatrzymanie awaryjne — okresowy test funkcjonalny wg ISO 13850 / IEC 60204
• Bezpieczeństwo maszyn — IEC 60204