Светлинната завеса не беше преместена. Премести се границата, от която можеше да бъде приета за безопасна. Точно там старото безопасно разстояние за светлинна завеса спря да защитава машината на хартия и в реалния цех.
В контролер SIMATIC S7-1500F, конфигуриран в TIA Portal V18, F_WD_TIME беше увеличено от около 150 до около 500 ms. Това само по себе си не доказва грешка на проектанта. Времето за мониторинг в PROFIsafe не е универсална настройка. То трябва да отговаря на реалната комуникация, циклите на програмата за безопасност и използваните устройства.
Проблемът започва, когато такава промяна се третира само като корекция на комуникацията. Без проверка какво прави тя с цялата функция за безопасност.
Не търсете в тези две числа готова рецепта. Стойностите са закръглени за описание на случая и не са универсални настройки, препоръчани от Siemens. В конкретния случай ефектът излезе при повторна валидация: измерване на времето за спиране, изчисляване на максималното време за реакция и ново определяне на разстоянието по ISO 13855. Резултатът беше неприятен, но ясен: светлинната завеса е твърде близо до опасната зона. Липсваха повече от половин метър.
F_WD_TIME 500 ms: грешна стойност или грешно оценен ефект?
Оценката на такава промяна почти винаги започва с подозрение:
- Кой увеличава времето за мониторинг от 150 на 500 ms?
- Това не е ли параметър, свързан с функция за безопасност?
- Някой не се ли опитва да прикрие проблеми в комуникацията?
Това са разумни въпроси. Само че нито един от тях не казва дали светлинната завеса все още е на безопасно разстояние.
Правилният въпрос е друг: какво направи промяната на F_WD_TIME с максималното време за реакция и с изискваното разстояние до опасната зона?
Защо F_WD_TIME няма една правилна стойност?
F_WD_TIME няма една вярна стойност за всички инсталации. Ако времето за мониторинг е прекалено кратко, PROFIsafe устройствата могат да преминат в пасивно състояние, въпреки че комуникацията не е повредена. При по-сложна конфигурация значение имат циклите на F-CPU, обновяването на мрежата, архитектурата на PROFIsafe и характеристиките на устройствата.
Може да имате лошо избрани 150 ms и технически обосновани 500 ms. Може да имате и напълно коректни 150 ms и абсолютно неоправдани 500 ms. Самото число не дава отговор.
Siemens описва две изисквания, които трябва да бъдат изпълнени едновременно. Времето за мониторинг трябва да е достатъчно дълго, за да не се превишава при нормална работа без грешка. Но трябва да е и достатъчно кратко, за да не бъде превишено процесното време за безопасност.
Увеличаването на параметъра може да подобри наличността на машината. Но не доказва, че машината продължава да реагира достатъчно бързо. И не доказва, че старото защитно решение все още върши работа.
Защо просто да не върнем 150 ms?
Това е първият въпрос, който трябва да се зададе след резултата от валидацията: щом при 500 ms светлинната завеса е твърде близо, защо да не върнем 150 ms?
Ако по-късата стойност все още е съвместима с реалната PROFIsafe конфигурация, това може да е правилното решение. Няма смисъл да се преработва машина само за да се запази излишно удължено време за мониторинг.
Ситуацията е различна, ако 150 ms вече не дават необходимия резерв за текущите цикли на F-CPU, комуникацията и устройствата. Връщането на старата стойност би подобрило изчислението на разстоянието, но би върнало и причината, поради която параметърът е бил променен.
Правилото е просто: разстоянието на светлинната завеса произтича от времето за реакция. Времето за реакция не се избира според свободното място в халето.
Първо се проверява дали F_WD_TIME може да бъде намалено. После дали могат да се съкратят другите компоненти на времето за реакция. После дали механичното време за спиране може да бъде намалено. Едва когато тези възможности отпаднат, остават два пътя: светлинната завеса се отдалечава или защитната концепция се сменя.
В разглеждания случай за още половин метър просто нямаше място. Проблемът не можеше да се затвори с козметична корекция на настройките. Трябваше да се смени защитното решение.
Измерване на времето за спиране и време за реакция: когато 350 ms стават 560 mm
До този момент може да се спори за PROFIsafe конфигурацията. Били ли са правилни 150 ms? Били ли са необходими 500 ms? Може ли да се съкрати цикълът или да се подобри комуникацията?
Отговорът идва само от последователна валидация. Изчислението на максималното време за реакция показва поведението на системата за управление, включително при приетите сценарии на грешка. Измерването на времето за спиране показва реалното изчезване на опасното движение. Границите на двете стойности трябва да са ясни, за да не се пропусне компонент или да не се брои два пъти.
Обхватът на измерването трябва да отговаря на анализирания сценарий. Типично измерване, стартирано чрез прекъсване на светлинната завеса при нормална комуникация, потвърждава здравия път на реакция. То не е задължително да включва изчакването на F_WD_TIME. Влиянието на времето за мониторинг върху максималния път на реакция тогава трябва да се докаже чрез изчисление на времената в системата за безопасност и да се съпостави с измерения спад на движението.
Как се изчислява безопасно разстояние за светлинна завеса?
ISO 13855 отговаря кратко и без сантименти. Времето се превръща в разстояние:
S = (K × T) + C
Когато другите компоненти не се променят, ефектът от промяната на общото време може да се покаже така:
ΔS = K × ΔT
| Увеличение на изчисленото максимално време ΔT | Увеличение на разстоянието при K = 1600 mm/s | Илюстративно увеличение при K = 2000 mm/s |
|---|---|---|
| 100 ms | 160 mm | 200 mm |
| 350 ms | 560 mm | 700 mm |
Тук ΔT е разликата между две изчисления на максималното време за реакция. Не е автоматично разликата между две настройки на F_WD_TIME. Промяната на F_WD_TIME може да не се пренесе едно към едно в общото време T. Затова решаващи са изчислението и измерването на цялата функция за безопасност.
Не се избира по-изгодно K само защото дава по-малък резултат. Правилният вариант на изчисление, стойността C и останалите условия зависят от начина на приближаване, способността за откриване и изискванията на ISO 13855 за конкретното приложение.
Това не е резерв, който може да се закръгли на око. Това е разстоянието, което трябва да бъде осигурено между полето на детекция на светлинната завеса и опасната зона.
Кой резултат от измерването се приема?
Едно измерване не стига. В информативното приложение на използваното в случая издание на ISO 13855 са посочени най-малко 10 измервания. Те трябва да се направят при идентифицирани условия, които водят до най-дългото реалистично време за изчезване на опасността. В зависимост от машината това може да включва скорост, товар, фаза на цикъла, температура и състояние на елементите, отговорни за спирането.
Кой резултат се приема? Не най-красивият. Не средният по удобство. Не този, който позволява да оставим старата светлинна завеса.
Съгласно метода, описан в това приложение, за определяне на разстоянието се приема по-голямата от две стойности: най-дългото измерено време или средната стойност, увеличена с три стандартни отклонения.
Какво точно обхваща измерването на времето за спиране?
Трябва да се пазят границите на измерването. Ако уредът измерва цялото време от задействането на защитното устройство до спирането на движението, същите компоненти не се добавят повторно от калкулатор. Ако измерването обхваща само механичната част на спирането, изчисленото време на по-ранната част от веригата трябва да се добави.
Фразата машината спря тук почти няма стойност. Реалният въпрос е: спря ли преди човекът да може да достигне опасността?
Комбинацията от изчислението на времената за реакция и резултата от измерването доведе до един извод: изискваното разстояние на светлинната завеса нарасна с повече от половин метър. Само че в халето този половин метър го нямаше.
Светлинната завеса работеше правилно. Въпреки това трябваше да бъде премахната
На пръв поглед звучи като противоречие. Светлинната завеса откриваше присъствие на човек и подаваше команда за спиране. Проблемът не беше в самото устройство. Проблемът беше в разстоянието до опасната зона.
Светлинната завеса не спира човека физически. Тя открива навлизането му и дава сигнал на машината да спре. Цялата концепция работи само ако опасното движение изчезне преди човекът да достигне опасността.
Безопасно разстояние за светлинна завеса и липса на място: защо се сменя защитната концепция?
Какво се прави, когато измерването и изчисленията показват, че са нужни още 560 mm, но около машината вече няма място?
ISO 12100 изисква връщане към итеративния процес на намаляване на риска. Първо се разглеждат отново решенията, които са безопасни сами по себе си, включително възможностите за съкращаване на времето за реакция и времето за спиране. Ако това не е достатъчно, се избира техническа защитна мярка, която отговаря на реалните условия.
Липсата на място не променя резултата по ISO 13855.
В анализирания случай принципът на защита беше сменен. Светлинната завеса, която откриваше навлизане в зоната, беше заменена с прозрачен блокиращ предпазен кожух със заключване, който трябваше да не допуска това навлизане.
Прозрачните панели запазиха видимостта към процеса, но не можеха да бъдат третирани като декоративен екран. Конструкцията, якостта и закрепването на кожуха бяха оценени по ISO 14120. Кожухът не трябваше да създава нови точки на притискане или остри ръбове. Възможността за достигане през, над или под конструкцията трябваше да бъде оценена с ISO 13857.
Защо беше нужен блокиращ предпазен кожух със заключване?
Оставаше достъпът за обслужване и сервиз. Защо не беше достатъчен обикновен блокиращ предпазен кожух?
Отварянето на блокиращ кожух предизвиква спиране, но не пречи той да бъде отворен веднага. Ако опасното движение изчезва след известно време, операторът може да достигне зоната преди машината реално да е спряла.
Нуждата от заключване не се определя само от факта, че има време за спиране. Решаващо е сравнението между времето за изчезване на опасността, времето за получаване на достъп и резултата от оценката на риска. В този случай кожухът трябваше да остане затворен от заявката за достъп до изчезването на риска. Едва след това системата можеше да освободи заключването и да позволи отваряне. Изборът на блокиращо устройство, заключване и мерки срещу заобикаляне се оценяват по ISO 14119.
Смяната на светлинната завеса с блокиращ предпазен кожух със заключване не беше просто подмяна на компонент. Трябваше да се изградят нови функции за безопасност:
- спиране на движението при заявка за достъп;
- предотвратяване на пуск при отворен кожух;
- задържане на заключването до изчезване на риска;
- освобождаване на заключването само след потвърждаване на изискваните условия;
- предотвратяване на неочаквано повторно пускане.
PLr = d се отнася за функцията за безопасност, не за самия кожух
За всяка идентифицирана функция беше определено изисквано PLr въз основа на оценката на риска. В описания случай за функциите, които трябваше да осигурят намаляване на този риск, беше прието PLr = d. След това частите на системата за управление, свързани с безопасността, бяха проектирани така, че постигнатият PL да бъде поне равен на PLr, и бяха проверени и валидирани съгласно ISO 13849.
Това не означава, че самият кожух има PL d. Нивото на осигуряване на безопасност се отнася за цялата функция: от датчика за положение и състоянието на заключването, през логиката на контролера, до изпълнителния елемент, който спира движението. Маркировката на един прекъсвач не доказва нивото, постигнато от целия контур.
Така промяната на една настройка доведе до нов кожух, нови функции за безопасност, промяна в програмата за безопасност и нова валидация.
От цифрова промяна до съществено изменение
На пръв поглед отговорът изглежда очевиден. Светлинната завеса е заменена с блокиращ предпазен кожух със заключване. Програмата за безопасност е преработена. Добавени са нови функции за безопасност. Обхватът е голям, следователно промяната трябва да е съществено изменение.
Регламент (ЕС) 2023/1230 обаче не брои сменените елементи. Не пита колко метра кожух са добавени или колко програмни блока са променени. Пита какво е влиянието върху безопасността.
Как се оценяват предпоставките по Регламент (ЕС) 2023/1230?
В подходящата за този случай логика трябва да се установи едновременно:
- дали след пускането на машината на пазара или въвеждането ѝ в експлоатация е направена физическа или цифрова промяна;
- дали промяната не е била предвидена или планирана от производителя на машината;
- дали е създала нова опасност или е увеличила съществуващ риск;
- дали е изисквала добавяне на кожух или защитно устройство;
- дали работата на тази мярка е изисквала модификация на съществуващата система за управление, свързана с безопасността.
Самата промяна на F_WD_TIME не решава автоматично въпроса за съществено изменение. Но може да задейства такава верига, ако всички горни условия бъдат потвърдени в оценката на риска.
В разглеждания случай началната точка беше цифрова промяна в експлоатирана машина. Повторната валидация показа, че съществуващото разстояние на светлинната завеса вече не осигурява планираното намаляване на риска. Безопасността не можеше да бъде възстановена чрез отдалечаване на завесата. Новият блокиращ предпазен кожух със заключване изискваше преработка на функции, реализирани от системата за безопасност.
Веригата беше ясна: цифрова промяна → повишен риск → нова защитна мярка → преработка на съществуваща система за безопасност.
Остава една предпоставка, която не може да се измисля само по обхвата на работата: бил ли е такъв вариант предвиден или планиран от производителя на машината? Ако производителят го е включил в първоначалната оценка на риска, документацията и инструкциите, промяната може да е в рамките на предвидена конфигурация. Ако не е била предвидена и всички останали условия са изпълнени, случаят може да се квалифицира като съществено изменение.
Кога извършващият промяната поема задължения на производител?
Ако всички предпоставки са изпълнени, член 18 от Регламент (ЕС) 2023/1230 разглежда физическото или юридическото лице, извършило същественото изменение, като производител за целите на регламента. Задълженията обхващат машината или свързания продукт, засегнат от изменението. При съвкупност от машини обхватът се определя за продукта, засегнат от промяната, според доказаното в оценката на риска.
Това не приключва с нова оценка на риска и валидация. Задълженията на производителя включват техническа документация, подходяща процедура за оценяване на съответствието, декларация за съответствие на ЕС, маркировка CE, инструкции, идентификация и съхраняване на техническата документация и декларацията за съответствие на ЕС най-малко 10 години.
Регламентът влезе в сила на 19 юли 2023 г., но основните му разпоредби относно същественото изменение се прилагат от 20 януари 2027 г. Ако преработката е извършена по-рано, тя не се квалифицира обратно във времето по тези членове. Прилагат се правилата, действащи към момента на промяната.
Директива 2006/42/ЕО не съдържаше правна дефиниция на съществено изменение. В практиката се използваха близки понятия, но официалното ръководство на Европейската комисия насочваше към оценка дали обхватът на преобразуването на практика означава създаване на нова машина.
Докъде стига обхватът на същественото изменение?
След думите поема задължения на производител лесно се отива в една от две крайности.
Първата: трябва да направим отначало оценка на съответствието и документацията на цялата линия.
Втората: сменихме само светлинната завеса с кожух, значи документираме само новата врата и заключването.
И двете могат да са грешни.
Съображение 26 от Регламент (ЕС) 2023/1230 пояснява, че лицето, което извършва съществено изменение, не трябва да бъде задължено да повтаря изпитвания и да изготвя нова документация за машини или свързани продукти, които са част от съвкупност от машини и не са засегнати от изменението.
Това обаче не ограничава задълженията спрямо машината или продукта, които реално са засегнати.
Обхватът на влиянието не се определя по името на проекта, границата на електрическия шкаф или мястото, където е монтиран новият кожух. Определя се от оценката на риска.
Трябва да се провери много повече от конструкцията на вратата:
- коя част от линията спира при отваряне на кожуха;
- дали са променени границите на зоните за спиране;
- дали съседни машини могат да продължат опасно движение;
- къде е разположен reset и какво вижда операторът оттам;
- дали след затваряне на кожуха е възможен неочакван restart;
- дали човек може да остане между кожуха и опасната зона;
- дали промяната влияе на интерфейсите между машините.
Ако оценката на риска покаже, че същественото изменение влияе върху безопасността само на една машина или един свързан продукт от съвкупност, член 18 позволява задълженията на производителя да се ограничат до този продукт. Ако обаче са променени общ достъп, спиране, reset, restart или комуникация между зони, не може да се твърди, че промяната засяга само една врата.
Машина или интегрирана производствена система?
Ако анализираният комплекс е интегрирана производствена система с поне две взаимно свързани машини, които реализират определено приложение, към анализа на интерфейсите и взаимодействието на функциите за безопасност влиза и перспективата на ISO 11161. Отделните машини могат да са съответстващи и правилно защитени, но след свързването им или след промяна на обща защитна мярка да се появи нов риск на ниво система.
Правилният въпрос е: докъде стига влиянието на преработката върху функциите, зоните и интерфейсите за безопасност?
Безопасно разстояние за светлинна завеса: сменяш параметър, проверяваш целия верижен ефект
Промяна на F_WD_TIME не означава автоматично изготвяне от нула на цялата документация. Ако обаче води до съществено изменение, техническата документация трябва да обхване машината или продукта, чиято безопасност е засегната.
Старият протокол от измерване на времето за спиране може да остане коректен исторически запис. Но той не доказва автоматично разстоянието на светлинната завеса след промяна в програмата за безопасност.
| Какво се промени? | Какъв може да е ефектът? | Какво трябва да се докаже отново? |
|---|---|---|
| F_WD_TIME или PROFIsafe конфигурация | Друго максимално време за реакция | Изчисление на времената за реакция за актуалния проект |
| Време за реакция или спиране | Друго безопасно разстояние за светлинна завеса | Измерване на времето за спиране и изчисление по ISO 13855 |
| Светлинна завеса, заменена с блокиращ предпазен кожух със заключване | Нови опасни ситуации и функции за безопасност | Оценка на риска, спецификация на функциите и PLr |
| Програма за безопасност, блокиране или заключване | Промяна в SRP/CS | Проверка на постигнатия PL и валидация |
| Общ достъп, reset или зона на спиране | Влияние върху съседни машини | Анализ на интерфейсите и обхвата по ISO 11161 |
| Изпълнени предпоставки за съществено изменение | Задължения на производител | Оценяване на съответствието и пълна документация за засегнатия продукт |
Всяко доказателство отговаря на различен въпрос. Калкулаторът за времена на реакция показва поведението на системата за управление. Измерването на времето за спиране показва реалното изчезване на движението. ISO 13855 превръща времето в разстояние. Оценката на риска решава дали мерките все още осигуряват изискваното намаляване на риска.
Нито едно от тези доказателства не замества останалите.
Остави следа от промяната на параметъра до валидацията
Всяка промяна на параметър, свързан с времето за реакция, трябва да остави читава следа: причина, конфигурация преди и след промяната, изчисления, резултати от измервания, оценка на риска, проектно решение и доклад от валидация.
RT Calculator на Siemens помага да се изчисли времето за реакция. Но той няма да покаже защо промяната е приета, кой е оценил последствията и как тя е повлияла на цялата машина.
Тази верига от решения може да се подреди в Safety Software за оценка на риска при машини. Модул за одитна следа пази историята на промените и обосновките, а машинният одит подрежда констатациите, коригиращите действия и доказателствата от валидацията.
Обобщение
Този случай не доказва, че F_WD_TIME = 500 ms е неправилна стойност. Показва нещо по-важно: промяна на параметър, който влияе върху времето за реакция, може да обезсили старите предположения за безопасността на машината.
Веригата беше проста: промяна на F_WD_TIME → друго максимално време за реакция → по-голямо изисквано разстояние → липса на място → нов блокиращ предпазен кожух със заключване → преработка на системата за безопасност.
При K = 1600 mm/s допълнителни 350 ms общо време означават 560 mm изисквано разстояние. Този резултат не може да се намали само защото в халето няма място. Ако не може да се съкрати времето и не може да се отдалечи светлинната завеса, защитната концепция трябва да се смени.
Самата промяна на времето за мониторинг не решава автоматично въпроса за съществено изменение. Но може да задейства поредица от събития, която изпълнява всички предпоставки: цифрова промяна след пускане на машината на пазара или въвеждане в експлоатация, непредвидена от производителя, увеличаване на риска, нова защитна мярка и преработка на съществуваща система за управление, свързана с безопасността.
Най-важният въпрос не е: беше ли позволено да се увеличи F_WD_TIME?
Въпросът е: след тази промяна безопасността на машината беше ли отново изчислена, измерена и потвърдена?
Ако отговорът стъпва на актуални изчисления, измерване на времето за спиране, оценка на риска и валидация, промяната е под контрол. Ако все още стъпва на стар протокол и на убеждението, че светлинната завеса не е местена, точно там започва проблемът.
Официални източници и използвани стандарти
Siemens
- документация за SIMATIC Safety относно конфигуриране на времената за мониторинг;
- SIMATIC STEP 7 Safety Advanced — RT Calculator;
- документация за времената за реакция на функции за безопасност;
- пример за функция за безопасност чрез IWLAN за TIA Portal V18;
- материали за приемане на системата и проверка на времената.
Право на Европейския съюз
- Регламент (ЕС) 2023/1230 — актуален текст;
- Регламент (ЕС) 2023/1230 — съображение 26;
- ръководство към Директива 2006/42/ЕО.
Стандарти, използвани в анализа
- ISO 12100 — оценка и намаляване на риска;
- ISO 13855 — разполагане на технически защитни средства;
- ISO 14119 — блокиращи устройства, свързани с предпазни кожуси;
- ISO 14120 — проектиране и изграждане на предпазни кожуси;
- ISO 13857 — безопасни разстояния срещу достигане на опасни зони;
- ISO 13849-1 — проектиране на части от системи за управление, свързани с безопасността;
- ISO 11161 — интегрирани производствени системи.
Преди прилагане на стандарт трябва да се установят приложимото издание за проекта, националната публикация и актуалната основа за презумпция за съответствие.