Într-o discuție tehnică despre un utilaj nou, momentul în care apare cerința PL d sau SIL 2 schimbă vizibil atmosfera. Cineva dă din cap aprobator, altcineva notează, iar de cele mai multe ori nimeni nu întreabă ce înseamnă exact. Este păcat, pentru că în spatele acestor litere și cifre stă o logică destul de accesibilă, iar consecințele lor asupra costului și a proiectării sunt mari.
Siguranța funcțională nu înseamnă pur și simplu că utilajul are butoane roșii și carcase. Înseamnă că funcțiile care protejează omul au o probabilitate demonstrabilă de a funcționa atunci când sunt solicitate. Diferența este între a spune că am pus un releu de siguranță și a putea arăta, cu documente, cât de des se poate aștepta ca sistemul respectiv să dea greș.
Două standarde, două limbaje
În practică circulă două scale. SIL, prescurtare de la Safety Integrity Level, vine din lumea proceselor continue – petrochimie, energie, industria chimică – și este definit în standardele din familia IEC 61508 și IEC 61511. Are patru trepte, de la SIL 1 la SIL 4, iar fiecare treaptă corespunde unei probabilități de defectare periculoasă cu un ordin de mărime mai mică decât precedenta.
Performance Level, notat de la PL a la PL e, vine din standardul ISO 13849, care se aplică mașinilor și utilajelor. Este scala pe care o întâlnești cel mai des în industria prelucrătoare, în ambalare, în prelucrarea lemnului sau a metalului.
Cele două nu sunt identice, dar există corespondențe orientative: PL c se apropie de SIL 1, PL d de SIL 2, PL e de SIL 3. Important este că ambele răspund la aceeași întrebare – cât de mult mă pot baza pe această funcție de siguranță – doar că o fac cu metodologii diferite.
Cum se ajunge la un nivel cerut
Nivelul nu se alege din instinct și nici pentru că sună serios. El rezultă dintr-o evaluare a riscului făcută pentru fiecare funcție de siguranță în parte. În metodologia ISO 13849 se combină trei factori:
- gravitatea vătămării posibile – de la o rană care se vindecă la o vătămare ireversibilă;
- frecvența și durata expunerii operatorului la pericol;
- posibilitatea de a evita pericolul, care depinde de viteza mișcării și de vizibilitate.
Combinația acestor factori duce, printr-un grafic standardizat, la nivelul cerut. O ușă de acces la o zonă în care intri o dată pe lună, la un mecanism lent și vizibil, poate ieși PL c. Aceeași ușă la o presă cu ciclu rapid, unde operatorul intervine de zeci de ori pe schimb, ajunge la PL e.
Consecința practică este că nivelul se stabilește separat pentru fiecare funcție. Un utilaj nu are un PL, are mai multe: unul pentru oprirea de urgență, altul pentru supravegherea ușii, altul pentru bariera optică de la zona de alimentare.
Ce înseamnă în hardware și în program
Un nivel mai ridicat cere structuri mai robuste. La niveluri joase poate fi suficient un singur canal cu componente de calitate. De la PL d în sus apare redundanța: doi senzori, două canale de procesare, contacte de monitorizare pe contactoare, astfel încât o defecțiune unică să fie detectată înainte să devină periculoasă.
De aici vin costurile suplimentare care surprind pe mulți: un întrerupător de siguranță cu două contacte în loc de unul, un modul de siguranță în locul unui releu obișnuit, contactoare cu contacte legate mecanic, cablare separată. Se adaugă și parametrii de fiabilitate ai componentelor – timpul mediu până la defectare periculoasă și acoperirea diagnosticului – pe care furnizorii serioși îi declară în fișa tehnică. Fără aceste date, calculul nu se poate face.
În partea de program, funcțiile de siguranță se implementează în blocuri certificate, separate de logica normală de proces. Un aspect care se uită frecvent: partea de siguranță trebuie să rămână lizibilă și trasabilă în timp, ceea ce ține direct de felul în care este documentat programul din automat. O funcție de siguranță pe care nimeni nu o mai poate verifica peste cinci ani este, practic, o funcție de siguranță pierdută.
Ce se întâmplă când nivelul rămâne pe hârtie
Cel mai frecvent defect nu este subdimensionarea, ci deteriorarea în timp. Un utilaj livrat corect, cu PL d demonstrat, ajunge după doi ani cu o barieră optică ocolită printr-o oglindă, cu un întrerupător de ușă păcălit cu o cheie legată de cadru și cu un modul de siguranță căruia i s-a scurtcircuitat un canal ca să nu mai dea eroare. Nivelul real, în acel moment, este zero.
De aceea siguranța funcțională nu se termină la punerea în funcțiune. Cere verificări periodice ale funcțiilor, o evidență a intervențiilor și o discuție onestă atunci când operatorii ocolesc protecția: dacă o fac, aproape întotdeauna înseamnă că protecția a fost proiectată fără să se țină cont de cum se lucrează efectiv la utilajul acela. Un sistem de siguranță pe care oamenii îl acceptă este singurul care rămâne funcțional.
