Реле безопасности и ПЛК безопасности — периодический проверочный тест по IEC 61508

Руководство о функциональной безопасности — SIL против PL рассматривает, как классифицируется функция безопасности на этапе проектирования. Эта статья рассматривает, что затем должно периодически происходить на этапе эксплуатации, чтобы эта классификация оставалась действительно действительной: проверочный тест (proof test), который IEC 61508 предписывает для каждого реле безопасности и каждого ПЛК безопасности, входящего в функцию безопасности.

Почему автоматическая диагностика не улавливает всё

Современное реле безопасности или ПЛК безопасности непрерывно выполняет внутреннюю диагностику — это диагностическое покрытие (DC): доля опасных видов отказов, которые система обнаруживает сама, автоматически, без ручного вмешательства. Однако ни одна система не достигает 100% диагностического покрытия. Всегда остаётся остаточная категория опасных, необнаруженных отказов — контакт, приварившийся в замкнутом положении, статус которого не считывается обратно, реле, ставшее механически медленным без электрической обнаружимости этого. Эти остаточные отказы остаются невидимыми, пока функция безопасности не будет реально задействована, и именно в этот момент — аварийная остановка, прерывание светового барьера — отказ становится неприемлемым.

Что добавляет проверочный тест

Проверочный тест — это периодический, обычно ручной или полуавтоматический тест, специально разработанный для выявления тех оставшихся видов отказов, которые пропускает диагностика — например, путём фактического приведения в действие цепи аварийной остановки и проверки того, что управляемые силовые контакторы действительно отключаются в пределах заданного времени, а не только проверки сигнала состояния, сообщаемого ПЛК безопасности.

Внимание: IEC 61508 явно отличает проверочный тест от автоматической онлайн-диагностики. Система с высоким диагностическим покрытием (например, 99%) всё равно нуждается в проверочном тесте для оставшегося 1% — диагностическое покрытие не сводит потребность в проверочном тесте к нулю, но на практике удлиняет допустимый интервал проверочного теста.

Интервал проверочного теста и PFDavg

Интервал проверочного теста напрямую связан с PFDavg (средней вероятностью опасного отказа по требованию), необходимой для обоснования требуемого SIL: более длинный интервал между проверочными тестами позволяет опасным, необнаруженным отказам дольше оставаться незамеченными, что повышает PFDavg и может подорвать фактический SIL — даже если система формально соответствовала требуемому SIL при вводе в эксплуатацию. Интервал проверочного теста поэтому не является свободным выбором обслуживания, а является параметром, учтённым в исходном расчёте SIL функции безопасности.

Покрытие проверочного теста: тоже не всегда 100%

Помимо интервала важно и покрытие проверочного теста: доля опасных видов отказов, которую фактически обнаруживает сам проверочный тест. Проверочный тест, проверяющий только индикацию состояния реле без фактического опробования переключающей функции, имеет более низкое покрытие, чем тест, функционально проходящий всю цепь — от датчика до управляемого силового контакта. Проверочный тест с покрытием ниже, чем предполагалось при проектировании функции безопасности, подрывает обоснованный PFDavg так же, как и слишком длинный интервал.

Практическая значимость

При составлении плана технического обслуживания машины с ПЛК безопасности или реле безопасности важно точно следовать интервалу проверочного теста и соответствующей процедуре теста, заданным производителем или системным интегратором, а не полагаться только на автоматическую самодиагностику — даже система с высоким диагностическим покрытием по-прежнему зависит от своевременно выполненного, функционально полного проверочного теста для фактического достижения обоснованного SIL.

Частые ошибки

1. Пропускать проверочный тест, поскольку система безопасности имеет высокое автоматическое диагностическое покрытие, тогда как именно оставшиеся, необнаруженные виды отказов делают проверочный тест необходимым.
2. Проводить проверочный тест, проверяющий только индикацию состояния, без функционального опробования фактического силового переключения, что снижает фактическое покрытие теста.
3. Удлинять интервал проверочного теста без пересчёта PFDavg, из-за чего обоснованный SIL фактически больше не достигается, несмотря на видимо неизменную конфигурацию.
4. Не вести прослеживаемый журнал проведённых проверочных тестов, из-за чего после инцидента невозможно доказать, что функция безопасности тестировалась с обоснованным интервалом.

Связанные материалы

• Функциональная безопасность — SIL против PL
• ISO 13849-1 — уровни производительности (Performance Levels)
• Аварийная остановка — периодический функциональный тест по ISO 13850 / IEC 60204
• Безопасность машин — IEC 60204