Реле безпеки та ПЛК безпеки — періодичний перевірочний тест за IEC 61508

Гід про функціональну безпеку — SIL проти PL розглядає, як класифікується функція безпеки на етапі проєктування. Ця стаття розглядає, що має потім періодично відбуватися на етапі експлуатації, щоб ця класифікація залишалася дійсно чинною: перевірочний тест (proof test), який IEC 61508 приписує для кожного реле безпеки та кожного ПЛК безпеки, що входить у функцію безпеки.

Чому автоматична діагностика не вловлює все

Сучасне реле безпеки або ПЛК безпеки безперервно виконує внутрішню діагностику — це діагностичне покриття (DC): частка небезпечних видів відмов, які система виявляє сама, автоматично, без ручного втручання. Однак жодна система не досягає 100% діагностичного покриття. Завжди залишається залишкова категорія небезпечних, невиявлених відмов — контакт, що приварився в замкнутому положенні, стан якого не зчитується назад, реле, що стало механічно повільним без електричної виявлюваності цього. Ці залишкові відмови залишаються невидимими, доки функція безпеки не буде реально задіяна, і саме в цей момент — аварійна зупинка, переривання світлового бар'єра — відмова стає неприйнятною.

Що додає перевірочний тест

Перевірочний тест — це періодичний, зазвичай ручний або напівавтоматичний тест, спеціально розроблений для виявлення тих залишкових видів відмов, які пропускає діагностика — наприклад, шляхом фактичного приведення в дію ланцюга аварійної зупинки та перевірки того, що керовані силові контактори дійсно відключаються в межах заданого часу, а не лише перевірки сигналу стану, який повідомляє ПЛК безпеки.

Увага: IEC 61508 явно відрізняє перевірочний тест від автоматичної онлайн-діагностики. Система з високим діагностичним покриттям (наприклад, 99%) все одно потребує перевірочного тесту для решти 1% — діагностичне покриття не зводить потребу в перевірочному тесті до нуля, але на практиці подовжує допустимий інтервал перевірочного тесту.

Інтервал перевірочного тесту та PFDavg

Інтервал перевірочного тесту безпосередньо пов'язаний з PFDavg (середньою ймовірністю небезпечної відмови за вимогою), необхідною для обґрунтування потрібного SIL: довший інтервал між перевірочними тестами дозволяє небезпечним, невиявленим відмовам довше залишатися непоміченими, що підвищує PFDavg і може підірвати фактичний SIL — навіть якщо система формально відповідала потрібному SIL при введенні в експлуатацію. Інтервал перевірочного тесту тому не є вільним вибором обслуговування, а є параметром, врахованим у вихідному розрахунку SIL функції безпеки.

Покриття перевірочного тесту: теж не завжди 100%

Окрім інтервалу, важливе й покриття перевірочного тесту: частка небезпечних видів відмов, яку фактично виявляє сам перевірочний тест. Перевірочний тест, що перевіряє лише індикацію стану реле без фактичного випробування функції перемикання, має нижче покриття, ніж тест, що функціонально проходить весь ланцюг — від датчика до керованого силового контакту. Перевірочний тест із покриттям нижчим, ніж передбачалося під час проєктування функції безпеки, підриває обґрунтований PFDavg так само, як і надто довгий інтервал.

Практична значущість

Під час складання плану технічного обслуговування машини з ПЛК безпеки або реле безпеки важливо точно дотримуватися інтервалу перевірочного тесту та відповідної процедури тесту, заданих виробником або системним інтегратором, а не покладатися лише на автоматичну самодіагностику — навіть система з високим діагностичним покриттям все одно залежить від своєчасно виконаного, функціонально повного перевірочного тесту для фактичного досягнення обґрунтованого SIL.

Часті помилки

1. Пропускати перевірочний тест, оскільки система безпеки має високе автоматичне діагностичне покриття, тоді як саме залишкові, невиявлені види відмов роблять перевірочний тест необхідним.
2. Проводити перевірочний тест, що перевіряє лише індикацію стану, без функціонального випробування фактичного силового перемикання, що знижує фактичне покриття тесту.
3. Подовжувати інтервал перевірочного тесту без перерахунку PFDavg, через що обґрунтований SIL фактично більше не досягається, попри видимо незмінну конфігурацію.
4. Не вести прослідковуваний журнал проведених перевірочних тестів, через що після інциденту неможливо довести, що функція безпеки тестувалася з обґрунтованим інтервалом.

Пов'язані матеріали

• Функціональна безпека — SIL проти PL
• ISO 13849-1 — рівні продуктивності (Performance Levels)
• Аварійна зупинка — періодичний функціональний тест за ISO 13850 / IEC 60204
• Безпека машин — IEC 60204