HET IA-VAKBLAD VOOR NEDERLAND EN BELGIE 60STE JAARGANG 2016 Netwerken voor Internet-of-things Machineveiligheid: PL versus SIL
ISO stapt uit Joint Working Group Samenvoeging SIL en PL machinesector mislukt Iedereen in de machinesector die te maken heeft met de veiligheid van de besturing wachtte in spanning op de samensmelting van EN-IEC 62061 (SIL) en EN-ISO 13849-1 (PL). In een samenwerkingsverband van respectievelijk de International Electrotechnical Commission (IEC) en de International Organization for Standardization (ISO) zou tot circa 2016 input worden gegeven aan een gezamenlijke norm. Deze norm, genaamd ISO/IEC 17305, zou vervolgens naar verwachting vóór het jaar 2018 definitief worden. Eind oktober 2015 is echter bekend geworden dat ISO de samenwerking heeft stopgezet. In dit artikel wordt uiteengezet waarom de samenvoeging gewenst was en wat de aanleidingen waren voor het mislukken. Ing. Nick de With 08 PMA 01_02/2016
Met name nieuwe ontwikkelingen, zoals toepassing van elektronica en software voor de veiligheidsfuncties in een machinebesturing - bijvoorbeeld intelligente veiligheidsrelais en veiligheids-plc s - hebben ertoe geleid dat de oude Europese norm EN 954-1 uit 1996 niet meer voldeed. Daarom zijn er voor de machine sector twee nieuwe normen opgesteld. In 2005 is de EN-IEC 62061 aangenomen en een jaar later de EN-ISO 13849-1, die het veiligheidsniveau classificeren in respectievelijk een Safety Integrity Level (SIL) en een Performance Level (PL). De SIL-norm voor de machinesector is gebaseerd op de uitgebreide norm EN-IEC 61508 met de delen 1 t/m 7. Deze norm onderkent vier SIL-niveaus: SIL 1 t/m SIL 4, en elk SIL-niveau komt overeen met een bepaalde kans op gevaarlijk falen. De zeer uitgebreide norm EN-IEC 61508 - van maar liefst 740 pagina s - moet worden gezien als basic safety publication en vindt zijn toepassing in diverse industriesectoren. De procesindustrie heeft hiervan sinds 2003 een afgeleide versie, genaamd EN-IEC 61511. Ook de machinesector heeft haar eigen SIL norm, namelijk de eerder genoemde EN-IEC 62061 uit 2005. De norm IEC 62061 onderkent drie SIL-niveaus: SIL 1 t/m SIL 3. Met de definitieve vaststelling van de hiervoor genoemde norm EN-IEC 61508 in 2000 was de faalkansberekening voor een veiligheidscircuit geïntroduceerd. De ISO, vooral bekend van de mechanische normen, heeft toen besloten om deze methodieken ook op te nemen in de norm EN-ISO 13849-1, dit is de oude EN 954. Deze in 2008 vernieuwde EN-ISO 13849-1 specificeert geen categorie meer voor het gewenste veiligheidsniveau maar een prestatieniveau, een zogenaamd performance level : PLa, PLb, PLc, PLd of PLe. Noodzaak van samensmelting De kans op gevaarlijk falen van een besturingstechnische veiligheidsfunctie wordt uitgedrukt in de Probability of Tabel 1: Performance Level versus Safety Integrity Level Probability of a dangerous Failure per Hour (PFHd) a dangerous Failure per Hour of afgekort PFHd. Elk SIL of PL niveau komt, zoals weergegeven in tabel 1, overeen met een specifiek PFHd bereik. Afgezien van deze duidelijke overeenkomst zijn er toch ook veel verschillen tussen beide normen te onderkennen. De verschillen zitten vooral in de methodiek van modelleren, het berekenen van de PFHd en het verschil in aandacht voor het voorkomen en beheersen van de systematische fouten. Voor de besturingstechnici werkzaam in de machinesector betekende het vaak dat de ene klant de voorkeur gaf aan SIL en de andere aan PL. Er zat dus niets anders op dan zich als bedrijf beide systemen eigen te maken. Uiteraard leidde dit voor deze bedrijven tot hogere engineeringskosten. Op 19 november 2011 is daarom binnen de ISO-commissie TC 199 en de IEC-commissie TC 44 besloten een gezamen lijke werkgroep op te richten die beide normen zou samenvoegen tot één document. Op 19 en 20 december 2011 is deze Joint Working Group (JWG) voor het eerst bij elkaar gekomen bij UNM in Parijs. De samenwerking heeft geleid tot een gezamenlijk commissiedocument, de draft CD ISO/IEC 17305. Samenwerking gestopt Na krap 4 jaar samenwerking aan de gezamenlijke norm heeft de ISO-commissie TC 199 in haar bijeenkomst op 28 oktober 2015 besloten te stoppen met het project. De officiële lezing van ISO TC 199 luidde dat men het niet meer haalbaar achtte om binnen de resterende tijd een kwalitatief goede draftver- EN-ISO 13849-1 Performance Level (PL) 10-5 < PFHd < 10-4 PL a OM 3x10-6 < PFHd < 10-5 PL b SIL 1 10-6 < PFHd < 3x10-6 PL c SIL 1 10-7 < PFHd < 10-6 PL d SIL 2 10-8 < PFHd < 10-7 PL e SIL 3 EN-IEC 62061 Safety Integrity Level (SIL) PMA 01_02/2016 09
sie van de norm ISO/IEC 17305 op te leveren. De auteur van dit artikel is paper member van de IEC TC 44-commissie en heeft ondertussen een kijkje kunnen nemen in het huidig resultaat, de draft CD ISO/IEC 17305. Wat opvalt is dat het document puur bestaat uit een samenvoeging van stukken tekst van beide normen. De beide systemen om te komen tot een PFHd worden naast elkaar getoond en ook de bijlagen van beide oorspronkelijke normen komen bijna 1 op 1 terug. De conclusie moet dan ook zijn dat de ISO/IEC Joint Working Group in de afgelopen 4 jaar niet verder is gekomen dan een grove samenvoeging van de teksten en systemen uit beide normen. De verschillen zitten vooral in de methodiek van modelleren, het berekenen van de PFHd en de aandacht voor systematische fouten. Figuur 1: Nieuwe risicograaf PL-norm. Bron: Figure 1 of the Amendment of EN-ISO 13849-1 (Oktober 2015) Het is duidelijk dat de deelnemers van ISO en IEC vooral vast wilden houden aan de eigen stokpaardjes en dat het opzetten van een gezamenlijke nieuwe systematiek niet is gelukt. Dit is uitermate jammer voor de machinebranche, want dit betekent dat beide normen nog steeds naast elkaar zullen blijven bestaan. ISO kondigt nieuwe PL norm aan De inkt van de resolutie van ISO TC 199 voor opheffing van de JWG was nog niet droog of het Duitse Institut für Arbeitsschutz der Deutschen Gesetzlichten Unfallversicherung, af- Laag risico Vereist Performance Level PLr PL a F 1 PL a S 1 PL b F 2 Startpunt voor de evaluatie van de benodigde risicoreductie PL c PL b F 1 S 2 PL d PL c F 2 PL e PL d Hoog risico Hoge waarschijnlijkheid van het optreden van een gevaarlijke gebeurtenis Lage waarschijnlijkheid van het optreden van een gevaarlijke gebeurtenis 10 PMA 01_02/2016
gekort IFA, kwam met de aankondiging dat in 2016 een nieuwe versie van EN-ISO 13849-1 zal worden gepubliceerd. De IFA (voorheen BGIA genaamd) is het onderzoeksinstituut van de Duitse ongevalsverzekeringsmaatschappij, die als voorvechter van de PL-norm in de Duitse industrie moet worden gezien. De BGIA heeft reeds in 1990 in een met Europees geld gefinancierd project genaamd STSARCES (STandards for SAfety Related Complex Electronic Systems) kennis opgedaan over de berekening van de faalkans van veiligheidscomponenten. De in dit project gebruikte Markov-modellen zijn door medewerkers van BGIA gebruikt voor de PL-bepaling in de norm EN- ISO 13849-1 uit 2006. Deze BGIA Markov-modellen zijn tot op heden niet openbaar beschikbaar en in Bijlage K van de ISO 13849 norm zijn alleen eindresultaten van de PL-bepaling beschikbaar gesteld. In 2008 heeft het toenmalige BGIA een eigen rekentool genaamd SISTEMA (SIchere STEuerungen von MAschinen) op de markt gebracht, waarmee de PFHd-berekening volgens de norm ISO 13849 kan worden uitgevoerd. Deze rekentool is sinds 2008 gratis aan de markt verstrekt. Het zal de lezer dan ook niet verbazen dat van SISTEMA een groot aantal exemplaren zijn gedownload. De tool heeft daarmee een grote installed base gekregen. Er is een aantal leveranciers van veiligheidscomponenten, zoals Pilz en Siemens, dat een rekentool voor beide normen levert, dus zowel SIL als ook PL. De IFA houdt in haar eigen rekentool echter stellig vast aan gebruik van uitsluitend de PL-methodiek. Toekomst van PL en SIL Anders dan ISO heeft de normcommissie IEC TC 44 aangekondigd dat ze in haar vergadering van januari 2016 wil besluiten over een eenzijdige voortzetting van CD ISO/IEC 17305, dan wel een vernieuwing van de EN-IEC 62061. Het resultaat van deze stemming zal zijn dat ook IEC, onafhankelijk van ISO, verder zal werken aan de SIL-systematiek voor de machinesector. De 62061 is een applicatienorm die de hard- en software-eisen beschrijft waaraan de veiligheidsapplicatie in een machinebesturing dienen te voldoen. Maakt de ontwerper de keuze voor een complexe component, met inwendige software (embedded software), dan wordt geëist dat deze programmeerbare componenten voldoen aan de eisen uit de EN-IEC 61508 deel 2 en deel 3. Dit is in lijn met de eis uit de huidige Machinerichtlijn 2006/42/EG, die voor logische eenheden die een veiligheidsfunctie vervullen additioneel een EG-typegoedkeuring door een Notified Body eist. De Notified Bodies die complexe veiligheidscomponenten certificeren hanteren hiervoor standaard de norm EN-IEC 61508, en daarmee is de cirkel rond. In het door IFA aangekondigde Amendment of EN-ISO 13849-1 wordt een aantal ingrijpende wijzigingen genoemd. De PL-norm wil het gebruik toestaan van industriële standaard componenten met embedded software, die niet specifiek zijn ontwikkeld voor gebruik in veiligheidsfuncties. Tot en met PL-level PLb zou dit zelfs 1-kanalig kunnen en voor de niveaus PLc of PLd moet het 2-kanalig met diversiteit worden uit gevoerd. Een van de andere grote wijzigingen van IFA is de verandering van de PL risicograaf (zie figuur 1). Door toevoeging van de parameter waarschijnlijkheid wordt het nu mogelijk om bij een zwaar letsel of dood toch in PL-level PLb uit te komen. Met andere woorden: In de komende versie van de PL-norm, zou dit perfect met een standaard logica-unit (standaard PLC of pc), met of zonder veldbus en remote I/O, opgelost kunnen worden!? Conclusie Binnen subgroepen van zowel ISO als IEC, die betrokken waren bij de samenvoeging van PL en SIL, leeft nog steeds het gevoel dat een toekomstige samensmelting van beide normen mogelijk moet zijn. Het lijkt er sterk op dat de op handen zijnde wijzigingen in de ISO 13849 volledig worden beheerst door de IFA als maker van de SISTEMA softwaretool en de marktpartijen die afzwakking van de technische veiligheidseisen ondersteunen. Vanwege de eind oktober door IFA aangekondigde wijzigingen in de PL-norm is er naar mening van de auteur eigenlijk maar één juiste keuze voor de IEC-commissie, namelijk het vernieuwen van de EN-IEC 62061. Alleen dan kan een degradatie van de besturingstechnische veiligheidsfuncties in de machinesector worden voorkomen. Ing. Nick de With is TÜV Certified Functional Safety Engineer en als Senior Consultant werkzaam bij Fusacon B.V. Hij is docent bij NEN en lid van de Nederlandse normcommissie NEC 44 en de internationale werkgroep IEC TC44/WG7. informatie PMA 01_02/2016 11