„При опасност операторът ще натисне аварийния бутон тип „гъба“.“ С тази реплика често се опитват да приключат разговора за защитата на машината. Бутонът е монтиран, веригата работи, а при изпитването машината спира. Остава само да приемем, че човекът ще забележи опасността, ще реагира навреме и ще компенсира онова, което не е осигурено чрез конструкцията или защитата на работното място.
Рефлексите на оператора не могат да се вписват като заместител на липсващо предпазно ограждение. Превантивната функция за безопасност трябва да предотврати конкретно опасно събитие. Функцията за аварийно спиране трябва да позволи намеса при вече възникнала или непосредствено предстояща аварийна ситуация, да ограничи развитието ѝ и да намали възможните последици. Тя може да помогне да се избегне нараняване, но не се превръща автоматично в заместител на защитата, която трябва да предотврати самото опасно събитие.
Тази разлика не бива да изчезва в оценката на риска зад общото твърдение „приложена е система за безопасност“. ISO 13850 определя аварийното спиране като допълваща предпазна мярка. Не защото е маловажно, а защото допълва останалите мерки, вместо да оправдава липсата им.
Има и второ опасно заблуждение: „След натискане изключваме всичко.“ Звучи решително, но спрялата машина невинаги е безопасна машина. Човек може да остане притиснат или заклещен, а изключването на оборудване, което го защитава, може да влоши ситуацията. Самото прекратяване на движението не доказва, че опасността е овладяна.
Затова задачата на аварийното спиране не се свежда до изключване на възможно най-много изходи. Трябва да се определи кои опасни действия да прекратят, в каква последователност и кое оборудване трябва да остане работоспособно, за да защитава човека. При някои приложения са необходими и допълнителни защитни действия, а не само спиране.
Операторът трябва да може да задейства реакцията с едно действие. Той не бива първо да преценява дали натискането няма да направи положението още по-лошо. Това е въпрос, който проектантът трябва да е решил предварително. Ако приемното изпитване проверява единствено дали задвижването е спряло, може да се потвърди спиране, без да се отговори на съществения въпрос: изпълнено ли е правилното действие спрямо конкретната аварийна ситуация?
Записът „E-STOP работи“ не обяснява нито какво предотвратява останалата защита, нито какво ще се случи с човека след натискането. Спирането на движението не винаги означава край на опасността.
1. Превенцията и аварийната реакция не са два начина за едно и също
„Светлинната завеса спира машината. Аварийният бутон също. Защо да усложняваме?“ Ако единственият критерий беше дали накрая моторът ще спре, въпросът щеше да изглежда разумен. Можем да сравним две схеми, да открием един и същ контактор и да заключим, че разликата е главно в цената.
Пропуснато е само кога ще спре машината и какво може да се случи с човека дотогава. Превантивната функция трябва да предотврати определено опасно събитие. Аварийното спиране трябва да противодейства на вече съществуваща или наближаваща аварийна ситуация. И в двата случая може да се наложи прекратяване на движение, но това не означава, че решаваме един и същ проблем.
Светлинната завеса не е предназначена да съобщи, че човекът вече е достигнал инструмента
Да разгледаме работно място, на което човек може да достигне движещ се инструмент. Приемаме, че достъпът може да бъде защитен със светлинна завеса: опасното движение може да бъде спряно по време на цикъла и до инструмента не може да се достигне, без защитното поле да бъде прекъснато.
Завесата открива ръката и задейства спирането. Разстоянието до инструмента трябва да отчита времето за реакция на цялата система и хода на машината до окончателното спиране. Опасното движение трябва да е приключило, преди човекът да може да го достигне. Това е истинската задача на функцията, а не просто превключването на изходи или появата на съобщение за безопасно спиране на панела.
Ако ръката може да достигне движещия се инструмент преди окончателното спиране, защитата срещу контакт не е осигурена. Завесата може да е сработила правилно, контролерът да е получил сигнала, а задвижването да е изпълнило командата. Всички устройства могат да работят точно според проекта, но самият проект да е погрешен.
Затова проверката на светлинна завеса не приключва с прекъсване на лъчите. Трябва да се докаже, че откриването и спирането действително предотвратяват събитието, срещу което са предназначени.
При аварийно спиране човекът трябва да започне намесата
Устройството за аварийно спиране не поема задачата да открива достъпа. То позволява на човек да задейства предварително проектирана реакция при ситуация, изискваща незабавна намеса. Не е необходимо вече да има нараняване. ISO 13850 включва и непосредствено предстояща аварийна ситуация. Някой може да разпознае опасното развитие и да натисне бутона преди настъпването на вреда. Намеса може да е необходима и когато опасното въздействие вече е започнало.
В първия пример защитата се задейства чрез откриване на ръката. При аварийното спиране човекът трябва да разпознае нуждата от намеса и да я започне. Разликата не може да се заличи с твърдението „и двете спират“.
Ако премахнем светлинната завеса и оставим само аварийния бутон, вече няма автоматично спиране при откриване на ръка. Задачата да бъде забелязан проблемът и да се започне реакцията е прехвърлена на човека. От проекта е премахнато откриването, а в обосновката е добавено, че операторът е обучен. Икономията е реална. Равностойността на защитата е измислена.
Именно затова ISO 13850 определя аварийното спиране като допълваща предпазна мярка и не допуска то да се използва вместо необходимите технически предпазни мерки и други функции за безопасност. Аварийното спиране също е свързана с безопасността функция, но това не означава, че може да му се възложи всяка защитна задача.
Едно и също реле не премахва разликата
Различни функции могат да споделят елементи на системата за управление, когато приложимите изисквания са изпълнени. Не е нужно апаратурата да се умножава без основание. Но за всяка функция трябва отделно да се определи какво я задейства и какъв защитен резултат трябва да постигне.
При светлинната завеса проверяваме защитата срещу опасен контакт. При аварийното спиране проверяваме правилната реакция спрямо разглежданата аварийна ситуация, която невинаги се изчерпва с неподвижност. Натискането на аварийния бутон тип „гъба“ не доказва, че човекът не може да достигне движещия се инструмент. Правилно приложената светлинна завеса също не отговаря на всички въпроси за необходимата аварийна намеса.
Общ контактор може да бъде обоснован. Едно общо „изпълнено“ за две различни защитни задачи не може просто да бъде копирано.
2. „Операторът ще успее“ не е защита на машината
Да приемем, че при работно място за ръчно подаване е оставено достъпно верижно задвижване. Опасността от захващане е разпозната. Като предпазни мерки в оценката на риска са вписани устройство за аварийно спиране, обозначение и обучение на оператора. След отчитането им рискът е обявен за приемлив.
Веригата обаче остава достъпна. Работникът продължава да извършва същите операции непосредствено до нея. Променен е цветът на клетката в електронната таблица. За предпазно ограждение не е останал бюджет. Рефлексът на оператора е вписан безплатно.
Какво точно намали риска?
Самото монтиране на бутон не ограничава достъпа до задвижването. То не намалява честотата на работа в близост до него и не отнема способността на механизма да захване човек. Осигурена е възможност да се започне аварийно спиране. Сега трябва да се докаже при какви обстоятелства тази намеса действително може да помогне.
Кой ще забележи опасността? По какво ще я разпознае? Ще може ли да достигне устройството? Между разпознаването на ситуацията и настъпването на вреда ще остане ли достатъчно време за ефективно действие? Отговорът „операторът е обучен“ решава само част от тези въпроси. Той потвърждава подготовка за определени действия, но не доказва физическа възможност те да бъдат извършени в конкретната ситуация.
Подписът в списъка за обучение не съкращава хода до спиране и не удължава времето до захващане. Аварийното спиране може да подобри възможността вредата да бъде избегната или ограничена, но тази полза трябва да се свърже с конкретна последователност на събитията. Тя не се присъжда автоматично за наличието на червен бутон.
Ако не е доказана възможност за ефективна намеса, записът „E-STOP и обучение“ не обосновава достатъчна защита срещу захващане.
Измерено е времето след натискането, не от началото на опасността
При изпитване проверяващият стои до устройството, знае какво ще направи и сам задейства спирането. Измерва се времето от натискането до прекратяването на опасното движение. Това е необходим резултат, но не включва онова, което в реалната ситуация се случва по-рано: забелязване на опасността, разпознаване на необходимостта от намеса и извършване на действието.
За системата за управление е определено време за реакция. За оператора просто е прието, че ще успее. Той обаче може да държи детайл с двете си ръце, да се намира извън обсега на бутона или да се нуждае от помощ точно защото вече не може сам да го задейства.
Предположението, че ще помогне колега, също трябва да бъде проверено. Вторият човек трябва да присъства, да вижда ситуацията и да има възможност да действа. Той не се появява до машината само защото в оценката е записана „помощ от друг работник“.
Достъпността на устройството се оценява спрямо местата и задачите, при които може да възникне нужда от намеса, а не само от удобната позиция пред пулта по време на приемното изпитване. Напълно изправна система може просто да не получи командата навреме. Това не е повреда на релето, която диагностиката ще открие, а непроверено допускане за човешкото участие.
„Да се проявява повишено внимание“ — най-добре през цялата смяна
В инструкцията се появява изречението: „Операторът трябва да проявява повишено внимание, постоянно да наблюдава машината и при опасност незабавно да използва аварийното спиране.“ Подобен текст може да се постави до почти всяка машина. Точно затова обяснява толкова малко.
Нека операторът трябва да взема готовите изделия, да проверява качеството им и да ги поставя в съд зад работното място. Инструкцията едновременно изисква „непрекъснато наблюдение на опасната зона“. За да остави изделието, човекът трябва да се обърне. Той не пренебрегва инструкцията и не измисля собствен метод. Извършва операцията, предвидена от проектанта — същия проектант, който е обвързал безопасността с гледане в обратната посока.
Работното място е планирано за един човек, а изискваното внимание очевидно е за двама. Указанието „спри незабавно“ не решава проблема, защото първо някой трябва да забележи, че спирането е необходимо. Ако защитната концепция зависи от непрекъснато наблюдение, а планираните задачи го прекъсват, допусканията си противоречат.
Не става дума предупрежденията да изчезнат от инструкцията. Става дума чрез предупреждение да не се замества работата, която не е извършена при проектирането. Информацията за ползвателя има място в намаляването на риска, но не заменя правилното прилагане на конструктивни и технически мерки. Същото важи и за аварийното спиране: то допълва защитата, вместо да прехвърля задачата ѝ върху постоянната бдителност на човека.
„Внимавай, операторе“ може да бъде предупреждение. Не е техническо защитно средство, доставено под формата на изречение.
3. Спрялата машина все още може да застрашава човека
В описанието на функцията често пише: „След задействане на аварийното спиране задвижванията спират и машината преминава в безопасно състояние.“ Първата част може да бъде проверена — задвижванията вече не предизвикват опасното движение. Втората изисква да установим какво друго застрашава човека и какво се е случило с тази опасност.
Да добавим думите „безопасно състояние“ след „спиране“ е лесно. В реалната машина връзката между тях не възниква от запетаята. Движението може да е прекратено, а човекът да остане под натиск, заклещен или без възможност да се освободи. Не е необходим нов машинен цикъл, за да продължи увреждането.
Скоростта е станала нула. Силата на притискане може да е останала
Да разгледаме система от валци, при която притискането на единия валец се осигурява от пружини. Крайник е захванат, E-STOP е задействан и въртенето е спряло. По-нататъшното увличане е прекратено, но валците остават притиснати. Задвижването е изпълнило командата. Пружините също работят точно според проекта. Човекът продължава да бъде притискан.
Това не означава, че спирането е било ненужно или че не е прекратило увличането. Означава, че не е решило цялата ситуация. Прекратяването на опасното движение и осигуряването на освобождаване са две различни задачи, които трябва да бъдат съгласувани.
Ако в анализа е разгледано захващане, трябва да се определи и как човекът ще бъде освободен. Според конструкцията може да е необходимо раздалечаване на елементи, освобождаване на натиска или подходящо проектирано обратно движение. Нито едно от тези действия не е универсално решение. Проблемът не изчезва само защото след спирането вече нищо не се движи.
ISO 13850 не свежда аварийната реакция до неподвижност
Стандартът допуска функцията за аварийно спиране да започва и други действия освен спиране, включително обръщане или ограничаване на движението. Целта е да се намали възможността за вреда, а не да се постигне максимален брой изключени изходи.
Трябва да бъдат прекратени опасните движения и действия. От това не следва, че всяко движение по време на аварийната реакция е забранено. Правилно проектирано преместване може да защити човека. Думата „правилно“ обаче е решаваща.
При обратно движение трябва да се провери дали то действително помага при конкретното заклещване, дали няма да задълбочи травмата, дали не създава друго място за захващане и какво се случва с притискането. Трябва да са определени обхватът, скоростта и начинът на управление. Смяната на знака на зададената скорост не е проект на спасителна функция, дори когато в програмата заема един ред.
ISO 13850 посочва възможността за такива действия, но не задава подробни изисквания за реализацията им. Позоваването на стандарта не доказва, че произволно обратно движение или отваряне на механизма е безопасно. Това се оценява за конкретното решение.
Спирането не трябва да отнема възможността за освобождаване
Трябва да се различават допълнително действие, включено в реакцията на E-STOP, и отделна функция за освобождаване след спирането. В първия случай действието е част от предварително проектираната аварийна реакция. Във втория спирането не извършва самото освобождаване, но запазва възможността то да бъде направено с подходящи средства.
Не всяка машина трябва автоматично да раздалечава елементи или да се движи назад след натискане на бутона. ISO 13850 обаче изисква аварийното спиране да не влошава други защитни функции и изрично включва освобождаването на заклещени хора.
Обяснението „може да бъде освободен, но първо трябва да върнем машината в нормален режим“ е сериозен предупредителен знак. Функцията за освобождаване трябва да позволява спасяване, а не повторно активиране на всички производствени движения с надеждата, че ще бъде използвано само правилното. Условията за задействане, наличните движения и ограниченията им се определят в проекта, не когато някой вече се нуждае от помощ.
Безопасното състояние не възниква, защото така е наречена променлива в контролера. То трябва да бъде осигурено в самата машина — включително за човека, който не може да се освободи.
4. Защо изключването на всичко може да влоши ситуацията
„След натискане на аварийния бутон изключваме всички изходи.“ Записът е прост, програмата също. При приемането лесно се вижда дали всичко е изгаснало. Но към един изход може да е свързано опасното задвижване, а към друг — устройство, което защитава от различна опасност. Изключването и на двете не дава двойна безопасност.
ISO 13850 изисква приоритет на аварийното спиране, но едновременно с това не допуска да бъде намалена ефективността на останалите защитни функции. Може да се наложи да се запази работата на спомагателно оборудване, например електромагнитни захвати или спирачни устройства. Това не е противоречие, а причина преди общото прекъсване да се провери какво всъщност се захранва през него.
Задвижването трябва да спре. Товарът не бива да падне
Да приемем, че машина премества стоманен детайл чрез електромагнитен захват, който се нуждае от непрекъснато захранване. В разглежданата конструкция няма независимо средство срещу освобождаване на товара. Проектантът прекъсва с една и съща команда задвижванията и захранването на захвата.
След натискане на E-STOP движенията спират, но захватът губи способността да задържа товара. Командата е изпълнена без грешка — включително частта, която премахва поддържането на товара.
Тук проблемът не е в несработил бутон или залепнал контактор. Апаратурата е направила точно това, което е проектирано. Грешката е допускането, че всички консуматори могат да се третират еднакво, защото използват електрическа енергия.
Правилната задача е друга: да се спре опасното преместване и да се запази безопасното задържане на товара. Начинът за изпълнение се избира и проверява за конкретната конструкция. Това не е универсално предписание определена верига винаги да остане под напрежение, а изискване задържането да остане ефективно.
Аргументът „след E-STOP не трябва да има енергия“ пропуска нещо очевидно: гравитацията не е свързана през нашия контактор и няма да се изключи заедно с него.
И пожарогасителната система може да бъде образцово изключена
Друг пример е машина с пожарогасителна система, чието задействане изисква електрозахранване. Управлението и изпълнителният елемент за подаване на гасителното вещество са захранени от верига, прекъсвана при E-STOP.
Материалът се запалва. Операторът задейства аварийното спиране. Задвижванията спират, но горящият материал продължава да е опасен. Пожарогасителната система вече не може да изпълни задачата си, защото току-що е останала без захранване. Тя е технически изправна — стига никой да не използва аварийното спиране преди нея. Такова условие няма място в безопасен проект.
ISO 13850 изрично посочва пожарогасенето като пример за защитна функция, която не трябва да бъде неблагоприятно повлияна. Това не означава процесът да продължава без промяна при пожар. Трябва да се определи кои действия се прекратяват, кои източници на опасност се изолират и как се запазва ефективната противопожарна защита. Командата „изключи всичко“ не решава тези въпроси, а ги заобикаля.
Категория 0 не означава „цялата машина без напрежение“
ISO 13850 предвижда аварийно спиране от категория 0 или 1, избрано въз основа на оценката на риска. При категория 0 захранването към изпълнителните елементи за движение се прекъсва незабавно. Това не означава непременно незабавно прекратяване на движението — може да е необходимо допълнително спирачно действие.
При категория 1 енергията за изпълнителните елементи остава налична по време на контролираното спиране и се прекъсва след достигането на покой. Категорията описва начина на спиране. Тя не е команда за изключване на всички устройства, които случайно са попаднали на една и съща схема.
Изборът на категория не отменя проверката на захвата, спирачката или пожарогасителната система. Самото време за отпадане на контактора също не показва дали опасното движение е прекратено правилно и дали спирането не е създало нова опасност.
Задачите са две: да се прекрати онова, което застрашава, и да не се обезвреди онова, което трябва да продължи да защитава. Може да изключите всичко толкова старателно, че да изключите и защитата на човека.
5. Операторът не трябва да гадае дали след натискането няма да стане по-зле
„Операторът знае какво да изключи последователно.“ Това може да е приемливо описание на подготовка за планиран престой. Като обяснение на аварийното спиране означава, че част от задачата на системата за управление е прехвърлена върху паметта на човек.
Той трябва да разпознае опасността, да си припомни зависимостите между устройствата и да изпълни правилната последователност без грешка. Производственият цикъл е автоматизиран до последния детайл, но при авария решаваме да разчитаме на ръчни действия.
ISO 13850 изисква решението за задействане на устройството да не налага предварително обмисляне на последствията от използването му. Човекът трябва да разпознае необходимостта от намеса. Не бива допълнително да изчислява дали натискането ще влоши положението.
Едно действие на човека не означава едно действие на машината
Функцията се задейства с едно действие. След това опасните движения и процеси трябва да бъдат прекратени по правилния начин, без да е необходима допълнителна човешка намеса за самото спиране. Това може да изисква предварително определена последователност от няколко координирани действия.
Едно натискане не означава задължително едновременно изключване на всичко. Не означава и че операторът трябва ръчно да довърши останалата част. Ако безопасността зависи от конкретна последователност, тя се определя при проектирането заедно с действията, които трябва да прекратят, функциите, които трябва да останат активни, и състоянието, което трябва да бъде постигнато.
Това не означава автоматизиране на всяка последваща спасителна операция. Изискването за реакция без допълнителна намеса се отнася до прекратяването на опасните действия на машината. Отделно средство за освобождаване може да изисква съзнателно управление. Едно е да се управлява функция за освобождаване, а съвсем друго — с втори бутон тепърва да се спира движение, което продължава да застрашава пострадалия.
Всеки доставчик е спрял своята машина. Подаването продължава
Да разгледаме линия за обработка на дълги профили. Обработващата машина и подаващото устройство имат отделни системи за управление. Устройството за аварийно спиране при машината прекратява движението на инструмента, но подаващото устройство продължава да вкарва профила в работната зона. В конкретната аварийна ситуация това движение може да притисне човек.
Инструментът вече е спрял, но материалът продължава да се движи. Обяснението на доставчика е: „Подаващото устройство има собствен авариен бутон.“ Има, но човекът вече е използвал устройството до мястото на опасността и не е получил необходимата реакция.
Границите на доставките може да са напълно ясни по договор. Остава аварийната ситуация да бъде убедена да ги спазва. Взаимодействието между устройствата трябва да бъде включено в анализа. Ако продължаващото подаване поддържа опасността, аварийното спиране трябва да го отчита. Проверка на всяка отделна машина спрямо нейния бутон не доказва правилна реакция на цялата линия.
Това не означава всеки бутон да спира целия завод. Означава, че зоната на действие не се определя от границата на електрическия шкаф или от името на фирмата, написала програмата.
„Кой авариен бутон?“ трябва да бъде решено преди аварията
Отправната точка в ISO 13850 е устройството за аварийно спиране да действа върху цялата машина. Допуска се разделяне на зони на действие, например когато спирането на всички свързани машини може да създаде допълнителна опасност или ненужно да засегне производството.
Подобно разделяне изисква анализ на разположението на машините, възможността опасността да бъде разпозната, технологичните последствия и свързаните опасности. Зоните могат да се припокриват. Задействането в една зона не трябва да увеличава риска в друга или да възпрепятства аварийното спиране там.
Избягването на ненужен престой е допустима цел. Оставянето на опасно подаване не става производствена оптимизация само защото спира по-малко оборудване.
Човекът трябва да може да свърже устройството с опасността и да разбере зоната му на действие. За това могат да се използват местоположението и ясни пиктограми. Не е разумно при авария да се разчита на четене на инструкция или предварително запаметяване на сложна схема. Обозначението „S14“ помага бутонът да бъде открит в електрическата документация, но не обяснява на човека до машината кои устройства ще спрат.
В аварийна ситуация не се свиква съвещание между конструктора, автоматчика и технолога. Тези решения трябва вече да са заложени в проекта.
6. Записът „E-STOP работи“ не заменя оценката на защитата
„Проверени са всички бутони. Резултатът е положителен.“ В протокола има означения, дати и подписи. При всяко натискане машината е спряла. Липсва само информацията какво се счита за правилна реакция, освен че нищо повече не се движи.
Бутонът е проверен по номера му в схемата. На функцията обаче първо трябва да бъдат поставени изисквания.
Първо критерият, после положителният резултат
Преди изпитването трябва да е известно какъв резултат се очаква. Кои действия трябва да прекратят, за колко време, в коя зона и при какви условия? Какво трябва да остане работоспособно? Какво поведение означава неизпълнение?
Без тези критерии за правилно лесно се приема точно онова, което е наблюдавано. Задвижването е спряло след няколко секунди — очевидно така е трябвало. Съседната секция продължава да работи — вероятно не е част от зоната. Щом документацията не определя нищо, резултатът няма с какво да влезе в противоречие.
Когато критерият се пише след изпитването, лесно се получава машина, която винаги преминава проверката. Достатъчно е да не изискваме повече от това, което току-що е направила.
| Област | Какво трябва да се определи? | Какво се записва или посочва в документацията? |
|---|---|---|
| Аварийна ситуация | При каква съществуваща или непосредствено предстояща ситуация е необходима намеса? Кой може да я започне? | Сценарий, действия на човека, състояние на машината и местоположение на достъпното устройство за аварийно спиране. |
| Очакван защитен резултат | Какво трябва да промени задействането? Кое опасно въздействие трябва да бъде прекратено или ограничено? | Изисквано състояние и условията за достигането му; при необходимост допълнителни защитни действия и средства за освобождаване. |
| Реакция на машината | Какво се спира, в каква последователност, за какво време и в коя зона? | Описание на функцията, категория на спиране, последователност, времеви граници и връзки с останалото оборудване. |
| Запазена защита | Какво трябва да продължи да действа? Създава ли реакцията нова опасност или влошава ли ситуацията в друга зона? | Изисквания към запазените функции, обосновка на решението и резултат от проверката на взаимодействието. |
| Потвърждение | С какво е доказано, че изпълнението отговаря на приетите изисквания? | Резултати от анализи, изпитвания и измервания, условията на провеждането им, идентификация на конфигурацията и решения по установените несъответствия. |
Таблицата е практическо предложение за организиране на проверката, а не формуляр от ISO 13850 и не е пълен план за валидиране. Обхватът на анализа и изпитванията се определя според конкретната функция, машината и използвания метод за оценяване.
PL и SIL не могат да допишат липсващото описание на функцията
ISO 13850 изисква свързаните с безопасността части на системата за управление, които реализират аварийното спиране, да отговарят на съответните изисквания на ISO 13849-1 и/или IEC 62061. Посочен е и минимум: PLr c или SIL 1.
Минимумът не означава, че това ниво автоматично е достатъчно при всяко приложение. Необходимото ниво се определя за конкретната функция, като се отчитат предназначението ѝ и приложимите специфични изисквания. Не е достатъчно PL e да бъде преписано от техническите данни на релето. Оценява се цялата реализация на функцията, не само един компонент.
Дори правилното изчисление за цялата система не заменя валидирането. ISO 13849-1:2023 разграничава проверката на постигнатото PL от валидирането чрез анализ и изпитване. Изисква се също проверка дали спецификацията на функцията е пълна, непротиворечива и подходяща за предвиденото приложение.
Това е важна практическа разлика. Не се проверява безкритично само дали програмистът е изпълнил точно неправилно зададена задача. Проверява се и дали самата задача е поставена правилно.
Резултатът трябва да се отнася за реално изпълнената машина
Проверката не приключва в момента, когато движението спре. Функцията трябва да е ефективна във всички режими на работа, да поддържа състоянието на спиране и да не допуска възобновяване на спряната дейност чрез обикновена команда за стартиране. Освобождаването на устройството не трябва само по себе си да пуска машината отново.
Към всяко изискване е полезно да бъдат свързани конкретни доказателства за действието на функцията: позиция в протокола, резултат от измерване, анализ, версия на схемата и версия на програмата. Приложение с общо име „изпитване на безопасността“ не е достатъчно, ако не е ясно какво е проверено и по какъв критерий резултатът е приет.
Изпитванията трябва да се планират така, че да не излагат хора на риск. Не се възпроизвежда реално захващане с човек, за да се провери концепцията за освобождаване. Използват се подходящи безопасни методи за изпитване, анализ или симулация. Липсата на проверка не е положителен резултат, дори когато формулярът предлага само едно поле за отметка.
След потвърждаване на аварийната реакция остава отделният въпрос за превантивната защита. Правилно изпълненият E-STOP не изпълнява изискването, което е трябвало да бъде осигурено от липсващо предпазно ограждение или от различно проектиран достъп.
Ако протоколът не пита какво е станало с опасността, положителният резултат не трябва да успокоява никого. Проверили сме спирането, но не непременно защитата на човека.
7. Защитата не е обещание, че при нужда ще има какво да се натисне
Превантивната функция за безопасност трябва да предотврати конкретно опасно събитие. Функцията за аварийно спиране трябва да осигури правилна намеса, когато аварийната ситуация вече съществува или непосредствено предстои. И двете изискват проектиране и проверка. Едната не изпълнява задачата на другата само защото и двете могат да спрат задвижване.
Проектът не става завършен с добавянето на авариен бутон, когато липсва защита срещу предвидимо опасно събитие. Липсата не се компенсира от обучение на оператора, високо PL на системата или успешно изпитване, ограничено до прекратяването на движението.
Самата аварийна намеса също изисква повече от решение кои изходи да бъдат изключени. Трябва да се определи правилният начин на спиране, да се запазят необходимите защитни функции и да се предвидят действията за овладяване на ситуацията. Това е инженерна работа. Човекът до машината не трябва да я довършва в момента на опасността.
Целта не е E-STOP да бъде подценяван. Целта е да не му се приписва защита, която не осигурява, и да не му се отнемат действията, необходими за ефективната намеса. Аварийното спиране трябва да помага за овладяване на опасната ситуация, а не да оправдава липсата на защита срещу нейното възникване.
Ако след цялата оценка можем да кажем само „машината спря“, значи сме проверили спирането. По безопасността на човека може да остава още работа.
Източници и бележки
Основата на анализа е ISO 13850:2015. Препратките по-долу посочват конкретните постановки, използвани в статията. Връзките към стандартите водят към страниците на издателите, а не към свободно достъпни копия на пълните текстове.
[1] Цел на функцията и допълваща роля. ISO 13850:2015, т. 3.1, 3.5, 3.8 и 4.1.1.1–4.1.1.3: цел на аварийното спиране, задействане от човек, понятия за функция за безопасност и аварийна ситуация и забрана за заместване на останалите защитни мерки. Разграничението между превенция и аварийна намеса не изключва аварийното спиране от свързаните с безопасността функции.
[2] Светлинна завеса и спиране преди опасен контакт. ISO 12100:2010, т. 6.3.2.5.1–6.3.2.5.2: условия за използване на чувствително защитно оборудване, възможност за спиране, разполагане на защитното поле и връзка със системата за управление. Стандартът препраща към ISO 13855 по отношение на разполагането. Примерът не представлява готово изчисление или избор на светлинна завеса.
[3] Възможност за човешка намеса и граници на инструкциите. ISO 12100:2010, т. 5.5.2.3.3 и 6.1: фактори, влияещи върху възможността вредата да бъде избегната или ограничена, и недопускане информацията за ползвателя да заменя подходящите защитни мерки. ISO/TR 14121-2:2012, т. 8.4, посочва аварийното спиране като пример за мярка, въздействаща основно върху възможността за избягване или ограничаване на вредата. Това не е основание за автоматично намаляване на стойност в графика на риска. За достъпността на устройствата вж. ISO 13850:2015, т. 4.3.1–4.3.2.
[4] Допълнителни защитни действия и освобождаване. ISO 13850:2015, обхватът на стандарта и т. 4.1.1.2 и 4.1.1.5: запазване на ефективността на други защитни функции и възможност за започване на действия, различни от самото спиране. Подробните изисквания за тези действия не са предмет на ISO 13850. ISO 12100:2010, т. 6.3.5.2–6.3.5.3, разграничава аварийното спиране от средствата за освобождаване и спасяване на заклещени хора.
[5] Запазване на останалата защита и категории на спиране. ISO 13850:2015, т. 4.1.1.2, 4.1.1.4–4.1.1.5 и 4.1.3. Посочени са освобождаването на хора, пожарогасенето и възможната необходимост да се запази работата на електромагнитни захвати или спирачки. Категории 0 и 1 не означават задължително изолиране на цялото оборудване от всички източници на енергия.
[6] Едно човешко действие, последователност и зони. ISO 13850:2015, т. 4.1.1.1, 4.1.1.5–4.1.1.6 и 4.1.2–4.1.2.1: правилна реакция без допълнителна намеса за спиране, възможност за предварително определена последователност и условия за разделяне на зоните на действие.
[7] PL, SIL, поддържане на спирането и нулиране. ISO 13850:2015, т. 4.1.5.1: приложими изисквания на ISO 13849-1 и/или IEC 62061, минимален PLr c или SIL 1 и допустимо споделяне на елементи. Точки 4.1.1.2 и 4.1.4 разглеждат наличността на функцията, поддържането на спирането и нулирането, което не трябва да предизвиква повторно пускане. За конкретната машина трябва да се отчетат и приложимите стандарти тип C.
[8] Спецификация и валидиране. ISO 13849-1:2023, раздел 8 и т. 10.1.1, 10.2 и 10.4.1: проверка на постигнатото PL, валидиране чрез анализ и изпитване, проверка на пълнотата и съгласуваността на спецификацията и предварително определяне на плана за изпитвания и очакваните резултати. Таблицата в статията е авторско предложение, а не пълен план за валидиране.
[9] Контекст на правото на ЕС. Директива 2006/42/ЕО — текст на английски език в EUR-Lex, приложение I, т. 1.2.4.3–1.2.4.4, и Регламент (ЕС) 2023/1230 — текст на английски език в EUR-Lex, приложение III, т. 1.2.4.3–1.2.4.4: допълваща роля на аварийното спиране, недопускане на допълнителен риск, защитни движения и спиране на свързано оборудване, чиято продължаваща работа може да бъде опасна. Регламентът се прилага по принцип от 20 януари 2027 г., при условията на преходните разпоредби и сроковете в членове 52 и 54. Самото цитиране на стандарт не представлява твърдение за неговата хармонизация по конкретен акт.
Характер на примерите и граници на приложението. Описаните работни места, захранващи системи, записи в документацията и изказвания са моделни примери. Те не описват конкретно установена трудова злополука и не са инструкция за спасяване при определена машина. Раздалечаването, освобождаването на натиск и обратното движение изискват подходящ проект и оценка на последствията. Статията разглежда ролята и логиката на функцията, а не всички изисквания на ISO 13850.