Czym jest Performance Level wg ISO 13849-1?

Aby zrozumieć normę PN-EN ISO 13849-1, warto wiedzieć trochę o tym, z czego korzystano, definiując podstawowe założenia nowego standardu. Performance Level wprowadzono po to, aby przyporządkować wyniki obliczeń do bardziej zrozumiałej formy, ale po kolei.

W poprzedniej części mogliśmy się dowiedzieć, w jaki sposób określić wymagany Performance Level, w skrócie często oznaczany jako PLr (Performance Level required). Czy jednak ktoś z Was zastanawiał się, dlaczego w ogóle wprowadzono takie pojęcie jak Performance Level i w dodatku podzielono je na pięć poziomów od a do e? W artykule odpowiem na to pytanie.

ISO 13849-1 z założenia miał przedstawiać uproszczoną metodę określania niezawodności urządzeń sterowania związanych z bezpieczeństwem. Podstawowe pomysły zaczerpnięto z IEC 61508, siedmioczęściowego standardu opublikowanego pierwotnie w 1998 r. IEC 61508 przedstawił koncepcję średniego prawdopodobieństwa niebezpiecznego uszkodzenia na godzinę, PFHD (1/h). Niebezpieczne uszkodzenia to awarie, które powodują utratę funkcji bezpieczeństwa i których nie można wykryć za pomocą diagnostyki. Oto formalna definicja z PN-EN ISO 13849-1:

3.1.5 uszkodzenie niebezpieczne

uszkodzenie, które ma potencjalną możliwość wprowadzenia SRP/CS w stan zagrożenia lub w stan utraty funkcji.

Uwaga 1 do hasła: To, czy ta potencjalna możliwość urzeczywistni się czy nie, może zależeć od architektury kanałów systemu; w systemach redundantnych niebezpieczne uszkodzenie sprzętu będzie mniej prawdopodobnym powodem cał­kowitej utraty bezpieczeństwa lub doprowadzenia do utraty funkcji.

[ŹRÓDŁO: IEC 61508-4, 3.6.7 zmodyfikowana.]

Jak określany jest Performance Level?

Poziom Performance Level jest pasmem prawdopodobieństw uszkodzeń niebezpiecznych, zdefiniowanym w tablicy 2 normy PN-EN ISO 13849-1

PLr	Średnie prawdopodobieństwo wystąpienia uszkodzenia niebezpiecznego na godzinę (PFHD)1/h
a	≥ 10-5 do < 10-4
b	≥ 3 × 10–6 do < 10–5
c	≥ 10–6 do < 3 × 10–6
d	≥ 10–7 do < 10–6
e	≥ 10–8 do < 10–7

Zakresy pokazane w tablicy 2 są przybliżone. Jeśli chcesz konkretne sprawdzić granice tych pasm, spójrz do załącznika K nomy PN-EN ISO 13849-1, który opisuje pełną rozpiętość PFH_D w formie tabeli.

Istnieje również inny sposób opisania w/w cech systemu, znanego z norm IEC. Zamiast korzystać z Performance Level, IEC stosuje poziomy nienaruszalności bezpieczeństwa (SIL). Tablica 3 normy PN-EN ISO 13849-1 pokazuje zależność między PL i SIL. Zauważ, że korelacja nie jest dokładna. Jeśli obliczona wartość PFH_D jest zbliżona do jednego z końców pasma PL lub SIL, użyj tabeli z załącznika K lub normy PN-EN 62061, aby określić, do którego pasma należy przypisać poziom zapewnienia bezpieczeństwa PL_r.

IEC opracowało raport techniczny IEC/TR 62061-1, który zawiera wskazówki dotyczące stosowania ISO 13849-1 lub IEC 62061. Poniższa tabela przedstawia związek między PL, PFHd i SIL.

PLr	Średnie prawdopodobieństwo wystąpienia uszkodzenia niebezpiecznego na godzinę (PFHD)1/h	Poziom nienaruszalności bezpieczeństwa – Safety Integrity Level (SIL)
a	≥ 10-5 do < 10-4	Bez odpowiednika
b	≥ 3 × 10–6 do < 10–5	1
c	≥ 10–6 do < 3 × 10–6	1
d	≥ 10–7 do < 10–6	2
e	≥ 10–8 do < 10–7	3

IEC 61508 zawiera jeszcze SIL 4, którego nie znajdziemy w normach dotyczących bezpieczeństwa maszyn. SIL 4 jest poza zakresem PFH_D, możliwego do uzyskania przy użyciu ISO 13849-1.
Wniosek z powyższego jest taki – zarówno SIL jak i PLr to nic innego jak PFH_D wyrażony liczbowo.

Dlaczego Performance Level, a nie PFH_D?

Dlaczego zatem wprowadzono jakiś “Performance Level”, w skrócie oznaczany jako PL_r, a nie pozostawiono po prostu PFH_D? Jednym z powodów konsolidowania grupy wyników w pewną nazwę jest to, że oceniający ma tendencję do popełniania błędów logicznych w wyniku mieszania skłonności i precyzji. Nazwano to sformułowaniem „Precision Bias”. Zjawisko to występuje wówczas, gdy możemy obliczyć liczbę, która wydaje się bardzo precyzyjna, np. 3,2 x 10^-6 i która jednocześnie sprawia, że czujemy iż osiągnęliśmy bardzo precyzyjną koncepcję ilościową. Problem, przynajmniej w tym przypadku, polega na tym, że mamy do czynienia z prawdopodobieństwami i małymi prawdopodobieństwami. W jaki sposób wyeliminować fakt, że pięć różnych badań lub testów może wywołać podobne wyniki dzięki zwykłemu zbiegowi okoliczności? W jaki sposób zapewnić powtarzalność wyników i brak stronniczości oraz wyeliminować zmienności, które mają wpływ na precyzję, której oczekujemy?

Używanie pasm, takich jak PL_r, zmusza nas do „szufladkowania” tych pozornie precyzyjnych liczb w większe grupy, eliminując wpływ na precyzowanie oceny systemów. Wyeliminowanie stronniczości precyzji jest tym samym powodem, dla którego IEC 61508 wykorzystuje SIL – podział obliczonych wartości pomaga zmniejszyć tendencję do „rozciągania” precyzji. Rzeczywistość jest taka, że nie możemy przewidzieć zachowania tych systemów z taką precyzją, w jaką chcielibyśmy wierzyć.

Skłonność (Bias) – jest miarą tego, jak daleko oczekiwana wartość oszacowania od rzeczywistej wartości szacowanego parametru.

Precyzja jest miarą tego, jak podobne są do siebie wielokrotne oszacowania, a nie jak blisko do prawdziwej wartości (czyli skłonności, odchylenia).

Precyzja i skłonność to dwa różne elementy dokładności. Wyobraźmy sobie tarczę, do której staramy się trafić w sam środek. Środek staje się wówczas naszą „prawdą”, którą chcemy osiągnąć. Wówczas zależność precyzji od skłonności można przedstawić tak, jak na rysunku poniżej.

Osiągnięty poziom Performance Level PL_r według normy PN-EN ISO 13849-1 określany jest na podstawie znajomości kilku parametrów, takich jak kategorii, pokrycia diagnostycznego DC, oraz średniego czasu do uszkodzenia niebezpiecznego MTTF_D. Na podstawie tych wielkości wyznaczono pewien poziom precyzji w postaci poziomu zapewnienia bezpieczeństwa Performance Level (PL_r=a, b, c, d lub e), jak pokazano na rys. 5 wg PN-EN ISO 13849-1.

W dalszych częściach przekonamy się, że zasadę konsolidowania grupy wyników w pewną nazwę używano w odniesieniu to pozostałych pojęć, takich jak MTTF_D i DC. Zapraszam do dalszych części.