LST EN IEC 61508 – universalus funkcinės saugos pagrindas

LST EN IEC 61508 (angl. IEC 61508) – tai standartas, dažnai laikomas kitų pramonės dokumentų, susijusių su funkcine sauga, „pagrindu“. Jis apibrėžia, kaip mažinti riziką valdymo sistemose, paremtose elektrine, elektronine arba programuojama elektronine technika (E/E/PE). Standarto nuostatos remiasi keturiais ramsčiais:

1. Saugos gyvavimo ciklas (Safety Lifecycle)
   – nuo pradinės koncepcijos ir pavojų analizės iki sistemos išėmimo iš eksploatacijos.
2. Saugos vientisumo lygiai (SIL)
   – priskiriami saugos funkcijoms, kad būtų apibrėžti patikimumo reikalavimai.
3. Funkcinės saugos valdymas
   – aiškiai apibrėžti vaidmenys, atsakomybės, verifikavimo procedūros ir kompetencijų peržiūros.
4. Dokumentacija
   – visų reikšmingų duomenų ir ataskaitų rengimas, saugojimas ir atnaujinimas eksploatacijos poreikiams bei galimiems patikrinimams.

Šie principai reiškia, kad 61508 nėra skirtas tik vienam sektoriui. Priešingai – standartas sukurtas taip, kad jį būtų galima pritaikyti skirtingų sričių specifikai: nuo mašinų pramonės, per geležinkelių ir aviacijos sektorius, iki energetikos (įskaitant branduolinę) ir procesų automatizavimo.

Taikymas įvairiose pramonės šakose

Mašinos ir gamybos linijos: LST EN 62061 ir LST EN ISO 13849

Projektuojant mašinas ir gamybos linijas dažniausiai remiamasi:

• LST EN 62061 – „Mašinų sauga. Elektrinių, elektroninių ir programuojamų elektroninių mašinų valdymo sistemų funkcinė sauga“,
• LST EN ISO 13849-1 – aprašančiu „Performance level“ (PL).

Abu šie standartai didele dalimi remiasi 61508 koncepcijomis, ypač kalbant apie rizikos vertinimą, saugos vientisumo nustatymą ir redundancijos principus.

Praktiniai pavyzdžiai:

• Automatinė pakavimo linija: taikome šviesos užtvaras ir avarinio stabdymo jungiklius, o valdymo sistemą projektuojame taip, kad pertraukus spindulį mašinos būtų akimirksniu ir saugiai sustabdytos.
• Bendradarbiaujantys robotai (kobotai): papildomi reikalavimai reakcijai į kontaktą su žmogumi, dažnai atsižvelgiant į SIL 2 arba SIL 3.

61508 padeda apibrėžti bendrą metodiką, o 62061/13849-1 patikslina, kaip žingsnis po žingsnio atlikti rizikos analizę ir įgyvendinti atskiras saugos funkcijas mašinoje.

Geležinkeliai: EN 5012x serija

Geležinkelių sektoriuje taikomi šie standartai:

• EN 50126 (RAMS – Reliability, Availability, Maintainability, Safety),
• EN 50128 (geležinkelių programinė įranga),
• EN 50129 (elektroninės sistemos geležinkelių signalizacijoje).

Kiekvienas iš jų, kalbant apie saugos reikalavimus, remiasi fundamentaliais principais, panašiais į 61508. Čia taip pat taikomi SIL lygiai (paprastai 0–4) ir griežti reikalavimai sistemų nepriklausomumui (kanalų redundancijai) bei atsparumui trikdžiams (bendrųjų gedimų priežasčių atvejams).

Pavyzdys:

• Traukinių eismo valdymas: kilus susidūrimo grėsmei, stabdžiai įjungiami automatiškai. Jei tokia sistema priskirta SIL 4, ji turi atitikti itin griežtus patikimumo kriterijus ir bandymų procedūras pagal EN 50128/50129.

Procesų pramonė: LST EN 61511

Kalbant apie chemijos įrenginius, petrochemiją, naftos perdirbimo gamyklas ar dujų perdirbimo įmones, remiamės standartu LST EN 61511 – jis tiesiogiai kilęs iš 61508, tačiau orientuotas būtent į vadinamąsias SIS (Safety Instrumented Systems).

• Projektuojame saugos kilpas (SIF – Safety Instrumented Function) ir kiekvienai jų nustatome SIL.
• Procesinių pavojų analizei dažnai taikome HAZOP metodą.
• Užtikriname, kad jutikliai ir vykdomieji elementai būtų pakankamai patikimi ir reguliariais intervalais tikrinami.

Branduolinė energetika: IEC 61513

Kai gedimo rizika reiškia grėsmę didelėms teritorijoms (branduolinėse elektrinėse), funkcinės saugos standartai yra dar griežtesni.

• IEC 61513 (Lenkijoje kartais nurodoma kaip PN-IEC 61513) apibrėžia reikalavimus branduolinių blokų apsaugos ir valdymo sistemoms.
• Reikalaujama daugiakanalė redundancija (pvz., 2oo3, 2oo4 – „two out of three“ ir pan.) bei itin griežta programinės įrangos projektavimo kontrolė.

Aviacija: DO-178C / DO-254

Nors aviacijoje 61508 tiesiogiai netaikomas, pati idėja yra artima. Dokumentai DO-178C (orlaivio programinei įrangai) ir DO-254 (aparatinei įrangai) nustato kritiškumo lygius A–E, paremtus klaidos pasekmėmis (nuo nedidelių nepatogumų iki orlaivio katastrofos). Analizės, redundancijos, bandymų ir konfigūracijos valdymo metodika iš esmės labai panaši į 61508, tik čia daugiau dėmesio skiriama detalioms avionikos sertifikavimo taisyklėms.

LST EN IEC 61508: Pagrindiniai principai ir jų praktinė reikšmė

1. Funkcinės saugos gyvavimo ciklas
   • Apima etapus: nuo koncepcijos apibrėžimo, per detalų projektavimą (aparatinė įranga, programinė įranga), iki įrengimo, priėmimo, eksploatacijos ir modifikacijų.
   • Todėl neapsiribojame vienu auditu projekto pabaigoje – sauga turi būti analizuojama ir patvirtinama per visą naudojimo laikotarpį.
2. Saugos vientisumo lygiai (SIL)
   • Yra keturi lygiai: SIL 1 – mažiausiai griežtas; SIL 4 – griežčiausias.
   • Kiekvienas lygis apibrėžia leistinas pavojingo gedimo tikimybės ribas (pvz., PFD retai aktyvuojamam režimui).
3. Rizikos vertinimas ir dokumentavimas
   • Prieš pradedant projektuoti, būtina žinoti, kokie pavojai egzistuoja ir kokiu mastu.
   • Dokumentacija (analizės, pvz., HAZOP, FMEA, gedimų medis) sudaro sistemos pagrindą – patikros ar audito metu galite pagrįsti savo projektinių sprendimų pagrįstumą.
4. Nepriklausomumas ir redundancija
   • Redundancija veiksminga tik tada, kai du (ar daugiau) kanalai nesugenda vienu metu dėl tos pačios priežasties (bendros priežasties gedimai).
   • Aukštas SIL dažniausiai reikalauja skirtingų technologijų, skirtingų maitinimo šaltinių ir pan.
5. Kompetencijų valdymas
   • Už saugos sistemų projektavimą ir priežiūrą atsakingi žmonės turi turėti tam reikalingą kvalifikaciją ir patirtį (standartas tai aiškiai pabrėžia).

Ką suteikia LST EN 61508 taikymas

1. Mažiau gedimų ir prastovų – dėl geresnės rizikos kontrolės ir ankstesnio defektų nustatymo.
2. Atitiktis reikalavimams – klientai, inspektoriai ir draudikai dažnai reikalauja sertifikavimo pagal tokias normas.
3. Didesnis pasitikėjimas – sistemos, suprojektuotos pagal 61508 / 61511 / 62061 / EN 5012x, laikomos patikimesnėmis.
4. Ilgalaikis efektyvumas – nors diegimas gali kainuoti brangiai, jis padeda sumažinti galimus nuostolius dėl nelaimingų atsitikimų ar teisinių problemų.

LST EN IEC 61508: Dažniausios klaidos ir spąstai

1. Nepakankama bendros priežasties gedimų analizė: redundantiška sistema gali nesuveikti, jei kanalai turi tą patį maitinimo šaltinį ar bendrą duomenų magistralę.
2. Apsiribojimas vienu komponentu su SIL sertifikatu: tai, kad jutiklis ar valdiklis turi SIL 2/3 sertifikatą, automatiškai nereiškia, jog visa sistema turi tokį pat lygį – svarbi visuminė architektūra (jutikliai, laidynas, programinė įranga, vykdomieji elementai).
3. Periodinių bandymų nebuvimas: retai veikiančioms sistemoms bandymai realiomis sąlygomis yra privalomi. Be jų nėra tikrumo, kad kritiniu momentu saugos funkcija suveiks.
4. Modifikacijų etapo praleidimas: pakeitus net ir programinės įrangos fragmentą ar pakeitus vožtuvą, reikia pakartoti kai kuriuos funkcinės saugos gyvavimo ciklo žingsnius, ypač pakeitimo poveikio analizę.
5. Kompetencijų apleidimas: nuo projektuotojo iki techninės priežiūros darbuotojų – kiekvienam reikalingi atitinkami mokymai, kad būtų aišku, kaip laikytis funkcinės saugos principų.

LST EN 61508 yra atspirties taškas, o sektorinės normos (LST EN 61511, 62061, EN 5012x, IEC 61513, DO-178C/254 ir kt.) pritaiko jos principus konkrečių pramonės šakų specifikai. Jums, kaip saugos sistemų projektuotojui ar naudotojui, tai reiškia:

• Aiškias ir nuoseklias gaires, kaip atlikti rizikos analizę, nustatyti SIL ar bandyti sistemas.
• Poreikį rengti išsamią dokumentaciją – nuo bandymų protokolų iki personalo kompetencijų įrašų.
• Didesnį užtikrintumą, kad įdiegti sprendimai atitinka tarptautinius standartus ir bus priimtini klientams bei priežiūros institucijoms.

Galiausiai, nors tai gali būti brangus ir daug laiko reikalaujantis procesas, teisingas LST EN 61508 (ar jos „išvestinių“ normų) įgyvendinimas reiškia mažesnę nelaimingų atsitikimų riziką, stabilesnį įmonės darbą ir geresnę reputaciją rinkoje. Todėl šios normos nėra „nereikalingas popierizmas“, o veiksminga priemonė, padedanti saugoti gyvybę, sveikatą ir turtą.