Bezpečná vzdálenost světelné clony: chybělo 560 mm

Bezpečnostní světelná clona se fyzicky nepohnula ani o milimetr. Přesto bezpečná vzdálenost světelné clony po změně konfigurace už nevycházela. V řídicím systému SIMATIC S7-1500F, konfigurovaném v TIA Portal V18, se zvýšil parametr F_WD_TIME z přibližně 150 na přibližně 500 ms. To samo o sobě nemusí být chyba projektanta. Monitorovací doba PROFIsafe není univerzální číslo z katalogu. Musí odpovídat reálné komunikaci, cyklům bezpečnostního programu a použitým F zařízením.

Problém začíná až ve chvíli, kdy se taková změna bere jen jako oprava komunikace. Bez otázky, co udělala s celou funkcí bezpečnosti. V tomto případě to odhalila až opakovaná validace. Měření doběhu určilo skutečnou dobu zániku nebezpečného pohybu, výpočet zahrnul aktuální maximální dobu reakce bezpečnostního systému a ISO 13855 z toho udělala tvrdý výsledek: světelná clona byla příliš blízko nebezpečné zóny. Chybělo více než půl metru.

Nehledejte v číslech 150 ms a 500 ms hotový recept. Hodnoty jsou zaokrouhlené pro popis případu a nejsou univerzálním nastavením doporučeným společností Siemens.

Měřítko ukáže jednoduchý vztah S = (K × T) + C. Pokud se celkový čas T zvýší o 350 ms, pak při K = 1600 mm/s naroste požadovaná vzdálenost o 560 mm. Rozdíl v nastavení F_WD_TIME se nemusí přenést do celkového času jedna ku jedné. Proto rozhoduje výpočet a měření celé funkce, ne pocit z jednoho parametru.

Na dalších 560 mm nebylo místo. Světelnou clonu nešlo odsunout. Musel se změnit ochranný prostředek. Nahradil ji průhledný blokovací ochranný kryt s jištěním, přestavěla se část řídicího systému související s bezpečností a pro nové funkce bezpečnosti byl stanoven PLr = d.

V tu chvíli příběh přestává být o jednom parametru v TIA Portal. Změna F_WD_TIME může spustit celý řetěz: nový výpočet doby reakce, nové měření doběhu, změnu ochranného prostředku, přestavbu SRP/CS a nakonec i otázku, zda už nejde o podstatnou změnu a kdo přebírá povinnosti výrobce.

F_WD_TIME 500 ms: špatná hodnota, nebo špatně vyhodnocený dopad?

Hodnocení takové změny často začne podezřením. Kdo zvyšuje watchdog ze 150 na 500 ms? Není to parametr funkce bezpečnosti? Nesnaží se někdo zamaskovat problémy s komunikací?

Jsou to rozumné otázky. Jenže ani jedna neodpoví na to, zda je světelná clona pořád v bezpečné vzdálenosti.

Správná otázka zní: Co změna F_WD_TIME udělala s maximální dobou reakce a s požadovanou vzdáleností světelné clony?

Proč F_WD_TIME nemá jednu správnou hodnotu?

F_WD_TIME nemá jednu správnou hodnotu pro všechny instalace. Příliš krátká monitorovací doba může způsobovat pasivaci F zařízení, i když komunikace není poškozená. U rozsáhlejší konfigurace hrají roli cykly F-CPU, aktualizace sítě, použitá zařízení i architektura PROFIsafe.

Můžete tedy mít špatně zvolených 150 ms a správně zvolených 500 ms. A stejně tak můžete mít správných 150 ms a zcela neodůvodněných 500 ms. Samotné číslo nic nerozhodne.

Siemens popisuje dvě podmínky, které musí platit současně. Monitorovací doba má být dostatečně dlouhá, aby nebyla překračována při bezchybné práci, a zároveň dostatečně krátká, aby nebyl překročen bezpečnostní čas procesu.

Zvýšení parametru tedy může zlepšit dostupnost stroje. Nepotvrzuje ale, že stroj pořád reaguje dost rychle a že původní ochranný prostředek zůstal účinný.

V tomto případě se F_WD_TIME zvýšil z přibližně 150 na přibližně 500 ms. Technicky to mohlo být zdůvodněné konkrétní konfigurací. Bezpečnostně to ale vyžadovalo nové ověření celé funkce.

Problém nemusí být samotná hodnota watchdoga. Problém začne, když po její změně dál používáte starý výpočet, starý protokol a starou vzdálenost.

Proč se prostě nevrátit na 150 ms?

To je první otázka, která má po výsledku validace padnout: když při 500 ms světelná clona nevychází, vraťme 150 ms.

Pokud kratší hodnota pořád odpovídá reálné konfiguraci PROFIsafe, může to být správné řešení. Nemá smysl přestavovat stroj jen proto, aby se zachoval zbytečně prodloužený watchdog.

Jiná situace nastane, pokud 150 ms už neposkytuje potřebnou rezervu pro aktuální cykly F-CPU, zařízení a komunikaci. Návrat ke staré hodnotě by vylepšil výsledek výpočtu vzdálenosti, ale nevyřešil by důvod, proč byl parametr změněn.

Platí jednoduché pravidlo: vzdálenost světelné clony vychází z doby reakce. Doba reakce se nevolí podle volného místa na hale.

Nejdřív je nutné ověřit, zda lze F_WD_TIME zkrátit, zda lze omezit další složky doby reakce a zda lze zkrátit mechanickou dobu zastavení. Teprve když tyto možnosti selžou, zůstávají dvě cesty: odsunout světelnou clonu, nebo změnit ochranný prostředek.

Měření doběhu a bezpečná vzdálenost světelné clony podle ISO 13855

Do této chvíle se dá pořád diskutovat o PROFIsafe. Bylo 150 ms správně? Bylo 500 ms nutné? Šel zkrátit cyklus? Šla zlepšit komunikace?

Odpověď dá až konzistentní validace. Výpočet maximální doby reakce ukáže chování řídicí části, včetně uvažovaných poruchových scénářů. Měření doběhu ukáže skutečný zánik nebezpečného pohybu. Hranice obou hodnot musí být jasné, aby se žádná složka nevynechala a žádná nepočítala dvakrát.

Rozsah zkoušky musí odpovídat analyzovanému scénáři. Typické měření spuštěné narušením světelné clony při správné komunikaci potvrzuje zdravou reakční cestu a nemusí zahrnovat čekání na F_WD_TIME. Vliv watchdoga na maximální cestu reakce je pak nutné prokázat výpočtem časů bezpečnostního systému a spojit jej s měřením zániku pohybu.

Věta „stroj se zastavil“ tady nemá velkou hodnotu. Otázka zní jinak: zastavil se dřív, než člověk mohl dosáhnout nebezpečí?

Jak spočítat bezpečná vzdálenost světelné clony?

ISO 13855 převádí čas na vzdálenost. Základní vztah je:

S = (K × T) + C

Pokud se ostatní složky nemění, dopad rozdílu celkového času lze ukázat jako:

ΔS = K × ΔT

Hodnota ΔT zde znamená rozdíl mezi dvěma výpočty maximální doby reakce, ne automaticky samotný rozdíl nastavení F_WD_TIME. Hodnota K = 2000 mm/s ukazuje matematické měřítko. Správnou variantu pro projekt je nutné zvolit podle ISO 13855, ne podle toho, která dá hezčí výsledek.

Nesmí se vybrat výhodnější K jen proto, že vyjde menší vzdálenost. Varianta výpočtu, hodnota C a další podmínky vycházejí ze způsobu přibližování, detekční schopnosti a požadavků ISO 13855 pro konkrétní použití.

A nejde o rezervu, kterou lze libovolně zaokrouhlit. Je to vzdálenost, která musí být mezi detekčním polem světelné clony a nebezpečnou zónou.

Který výsledek měření vzít?

Jeden pokus nestačí. V informativní příloze vydání ISO 13855 použitého v tomto případě je uvedeno nejméně 10 měření. Mají se provést v identifikovaných podmínkách, které vedou k nejdelší realistické době zániku nebezpečí. Podle stroje to může být rychlost, zatížení, fáze cyklu, teplota nebo stav prvků odpovědných za zastavení.

Který výsledek vzít? Ne ten nejhezčí. Ne průměr jen proto, že sedí. Ne ten, který zachrání stávající světelnou clonu.

Podle metody popsané v příloze se pro stanovení vzdálenosti použije větší ze dvou hodnot: nejdelší změřený čas, nebo průměr zvětšený o tři směrodatné odchylky.

Co přesně zahrnuje měření doby zastavení?

Je nutné hlídat hranice měření. Pokud přístroj měří celý čas od sepnutí ochranného zařízení až po zánik pohybu, nesmí se znovu přičítat stejné složky z kalkulátoru. Pokud měření zahrnuje jen mechanickou část zastavení, vypočtený čas předchozí části řetězce se přidat musí.

Spojení výpočtu doby reakce s výsledkem měření vedlo k jednomu závěru: požadovaná vzdálenost světelné clony narostla o více než půl metru.

Jenže na hale to půlmetrové místo nebylo.

Světelná clona fungovala správně. Přesto musela pryč

Zní to jako rozpor. Světelná clona detekovala přítomnost člověka a vyvolala zastavení. Problém nebyl v samotném zařízení. Problém byl ve vzdálenosti od nebezpečné zóny.

Světelná clona člověka fyzicky nezastaví. Jen detekuje jeho vstup a dá stroji signál k zastavení. Celá koncepce funguje pouze tehdy, když nebezpečný pohyb zanikne dřív, než člověk dojde k nebezpečí.

Proč nedostatek místa vynutil jinou ochrannou koncepci?

Co dělat, když měření a výpočet ukážou potřebu dalších 560 mm, ale hala už žádné místo nemá?

ISO 12100 vrací projektanta do iterativního procesu snižování rizika. Nejdřív se mají znovu posoudit inherentně bezpečná řešení, včetně zkrácení doby reakce a doby zastavení. Pokud to nestačí, musí se zvolit technický ochranný prostředek, který odpovídá skutečným podmínkám.

Nedostatek místa nezmění výsledek podle ISO 13855. Změní pouze to, jaký ochranný prostředek musíte použít.

V analyzovaném případě se změnil princip ochrany. Světelnou clonu, která detekovala vstup člověka do zóny, nahradil průhledný kryt, který měl tomuto vstupu zabránit.

Průhledné panely umožnily dál sledovat proces. Nebyly ale dekorace. Konstrukce, pevnost a upevnění krytu se posuzovaly podle ISO 14120. Kryt nesměl vytvořit nová místa sevření ani ostré hrany. Možnost dosahu skrz, nad nebo pod konstrukcí bylo nutné posoudit s ohledem na ISO 13857.

Proč blokovací ochranný kryt s jištěním?

Zůstal ale přístup potřebný pro obsluhu a servis. Proč nestačil běžný blokovací kryt?

Otevření blokovacího krytu vyvolá zastavení, ale nezabrání okamžitému otevření. Pokud nebezpečný pohyb dobíhá, operátor může dosáhnout zóny dřív, než se stroj skutečně zastaví.

O potřebě jištění nerozhoduje samotný fakt doběhu. Rozhoduje porovnání doby zániku nebezpečí s dobou potřebnou k získání přístupu a výsledek posouzení rizika. V tomto případě měl kryt zůstat zavřený od požadavku na přístup až do zániku rizika. Teprve potom mohl systém uvolnit jištění a dovolit otevření dveří. Volbu blokovacího zařízení, jištění a omezování možnosti obcházení řeší ISO 14119.

Změna světelné clony na blokovací ochranný kryt s jištěním nebyla výměna jednoho komponentu za druhý. Bylo nutné navrhnout nové funkce bezpečnosti: zastavení pohybu po požadavku na přístup, zabránění spuštění při otevřeném krytu, udržení jištění do zániku rizika, uvolnění jištění až po potvrzení požadovaných podmínek a zabránění neočekávanému opětovnému spuštění.

PLr = d platí pro funkci bezpečnosti, ne pro samotný kryt

Pro každou identifikovanou funkci se stanovil požadovaný PLr na základě posouzení rizika. V popisovaném případě byl pro funkce snižující dané riziko přijat PLr = d. Následně se části řídicího systému související s bezpečností navrhly tak, aby dosažený PL byl alespoň roven PLr. Funkce pak prošly ověřením a validací podle ISO 13849-1.

Neznamená to, že samotný kryt měl PL d. Úroveň vlastností platí pro celou funkci: od snímače polohy a stavu jištění přes logiku řídicího systému až po výkonný prvek, který zastavuje pohyb. Označení jednoho spínače nepotvrzuje úroveň dosaženou celým řetězcem.

Výsledek? Změna jedné hodnoty vedla k nové ochraně, novým funkcím bezpečnosti, přestavbě bezpečnostní části programu a nové validaci.

A tady přichází další otázka: je subjekt, který přestavbu provedl, pořád jen uživatelem stroje, nebo už převzal povinnosti výrobce?

Od digitální změny k podstatné změně

Na první pohled to vypadá jasně. Světelnou clonu nahradil blokovací ochranný kryt s jištěním, bezpečnostní program se přestavěl a přibyly nové funkce bezpečnosti. Rozsah prací byl velký, takže změna musela být podstatná.

Jenže nařízení (EU) 2023/1230 neposuzuje počet změněných prvků. Neptá se, kolik metrů krytu přibylo ani kolik bloků programu se upravilo. Ptá se na dopad změny na bezpečnost.

Jak posoudit společné předpoklady podle nařízení?

V cestě odpovídající tomuto případu je nutné společně ověřit, zda po uvedení stroje na trh nebo do provozu došlo k fyzické nebo digitální změně, zda tato změna nebyla předvídána ani plánována výrobcem, zda vytvořila nové nebezpečí nebo zvýšila existující riziko, zda vyžadovala doplnění krytu nebo ochranného zařízení a zda působení tohoto prostředku vyžadovalo změnu existujícího řídicího systému souvisejícího s bezpečností.

Sama změna F_WD_TIME o podstatné změně nerozhoduje. Může ale naplnit její předpoklady, pokud posouzení rizika potvrdí celý řetěz.

V analyzovaném případě byla výchozím bodem digitální změna na používaném stroji. Opakovaná validace ukázala, že existující vzdálenost světelné clony už nezajišťuje předpokládané snížení rizika. Bezpečnost nešlo obnovit odsunutím světelné clony a nový blokovací ochranný kryt s jištěním vyžadoval přestavbu funkcí realizovaných bezpečnostním systémem.

Řetěz vypadal takto: digitální změna → zvýšení rizika → nový ochranný prostředek → přestavba existujícího bezpečnostního systému.

Zůstává jedna podmínka, kterou nelze domyslet jen podle rozsahu prací: předvídal nebo plánoval výrobce stroje takovou variantu změny?

Pokud ji výrobce zahrnul do původního posouzení rizika, dokumentace a návodu, může jít o změnu provedenou v rámci předvídané konfigurace. Pokud předvídána nebyla a ostatní podmínky jsou splněny, případ může být kvalifikován jako podstatná změna.

Kdy subjekt přebírá povinnosti výrobce?

Pokud jsou splněny všechny předpoklady, čl. 18 nařízení považuje fyzickou nebo právnickou osobu provádějící podstatnou změnu za výrobce pro účely tohoto nařízení. Povinnosti se vztahují na stroj nebo související výrobek dotčený důsledky změny. U souboru strojních zařízení se týkají výrobku dotčeného změnou v rozsahu prokázaném posouzením rizika.

Nekončí to novým posouzením rizika a validací. Povinnosti výrobce zahrnují také přípravu technické dokumentace, provedení příslušného postupu posouzení shody, vystavení EU prohlášení o shodě, umístění označení CE, zajištění návodu a identifikace a uchování technické dokumentace a EU prohlášení o shodě nejméně 10 let.

Nařízení vstoupilo v platnost 19. července 2023, ale jeho hlavní ustanovení k podstatné změně se použijí od 20. ledna 2027. Pokud byla přestavba provedena dříve, neposuzuje se zpětně podle těchto článků. Použijí se předpisy platné v době provedení změny.

Směrnice 2006/42/ES neobsahovala právní definici podstatné změny. V oborové praxi se používaly různé výrazy pro významnou modernizaci. Oficiální průvodce Komise ale upozorňoval na potřebu posoudit, zda rozsah přeměny fakticky neznamená vytvoření nového stroje.

Podrobněji právní test popisujeme v článku Podstatná změna — kdy k ní skutečně dochází?. Můžete také projít ověření předpokladů podstatné změny.

Jak daleko sahá rozsah podstatné změny?

Po větě „přebírá povinnosti výrobce“ je snadné spadnout do jednoho ze dvou extrémů.

První zní: musíme od začátku udělat posouzení shody a dokumentaci celé linky. Druhý zní: změnili jsme jen světelnou clonu na kryt, takže dokumentujeme pouze nové dveře a zámek.

Obě odpovědi mohou být špatně.

Bod odůvodnění 26 nařízení vysvětluje, že osoba provádějící podstatnou změnu nemá být povinna opakovat zkoušky a vytvářet novou dokumentaci pro stroje nebo související výrobky, které jsou součástí souboru strojních zařízení a na které změna nemá vliv.

To ale neomezuje povinnosti vůči stroji nebo výrobku, který změnou skutečně dotčen je.

Rozsah dopadu nelze určit podle názvu projektu, hranice rozvaděče ani místa, kde končí nový kryt. Musí vycházet z posouzení rizika.

Je nutné zkontrolovat mnohem víc než samotnou konstrukci dveří: jakou část linky otevření krytu zastaví, zda se změnily hranice zastavovacích zón, zda jiné stroje mohou dál provádět nebezpečný pohyb, kde je reset a co odtud obsluha vidí, zda je po zavření krytu možný neočekávaný restart, zda člověk může zůstat mezi krytem a nebezpečnou zónou a zda změna ovlivňuje rozhraní mezi stroji.

Pokud posouzení rizika ukáže, že podstatná změna ovlivňuje bezpečnost pouze jednoho stroje nebo jednoho souvisejícího výrobku v souboru strojních zařízení, čl. 18 umožňuje omezit povinnosti výrobce na tento výrobek.

Pokud se ale změnil společný přístup, zastavení, reset, restart nebo komunikace mezi zónami, nelze tvrdit, že změna se týká pouze jedněch dveří.

Stroj, nebo integrovaný výrobní systém?

Pokud analyzované uspořádání tvoří integrovaný výrobní systém s nejméně dvěma vzájemně propojenými stroji pro konkrétní použití, přidává se k analýze rozhraní a vzájemného působení funkcí bezpečnosti pohled ISO 11161. Jednotlivé stroje mohou být samy o sobě shodné a správně chráněné. Přesto může po jejich propojení nebo po změně společného ochranného prostředku vzniknout nové riziko na úrovni celého systému.

Správná otázka zní: jak daleko sahá dopad přestavby na funkce, zóny a bezpečnostní rozhraní?

Které dokumenty a důkazy aktualizovat?

U strojů nebo souvisejících výrobků, které nejsou změnou dotčeny a jsou součástí souboru, není nutné opakovat zkoušky ani vytvářet novou dokumentaci. V dokumentaci dotčeného výrobku lze využít dřívější důkazy, pokud jsou stále aktuální a vhodné. Celek ale musí konzistentně prokazovat shodu stroje nebo výrobku, na který dopadají povinnosti výrobce.

Ne vždy to znamená psát každý dokument od prázdné stránky. Znamená to připravit úplnou a soudržnou technickou dokumentaci pro dotčený výrobek, jasně označit, které starší důkazy zůstávají platné, které byly aktualizovány a proč změna neovlivňuje ostatní stroje nebo výrobky v souboru.

Hranici povinností výrobce neurčuje místo, kde končí nový kryt. Určuje ji dopad změny prokázaný v posouzení rizika.

Změníte bezpečnostní parametr? Projděte celý řetěz znovu

Změna F_WD_TIME automaticky neznamená, že se musí od začátku připravit celá dokumentace. Pokud ale vede k podstatné změně, technická dokumentace musí pokrýt stroj nebo výrobek, jehož bezpečnost byla změnou dotčena.

Starý protokol měření doběhu může být pořád správným historickým záznamem. Automaticky ale nepotvrzuje bezpečná vzdálenost světelné clony po změně bezpečnostního programu.

Každý z těchto důkazů odpovídá na jinou otázku. Kalkulátor dob reakce ukazuje chování řídicího systému. Měření doběhu ukazuje skutečný zánik pohybu. ISO 13855 převádí čas na vzdálenost. Posouzení rizika rozhoduje, zda použitá opatření pořád zajišťují požadované snížení rizika.

Žádný z těchto důkazů nenahrazuje ostatní.

Proto by každá změna parametru souvisejícího s dobou reakce měla zanechat čitelnou stopu: důvod, konfiguraci před a po změně, výpočty, výsledky měření, posouzení rizika, projektové rozhodnutí a validační zprávu.

Zanechte stopu od změny parametru až po validaci

RT Calculator od Siemens pomůže vypočítat dobu reakce. Neřekne ale, proč byla změna přijata a jaké důsledky vyvolala v celém stroji.

Tento řetěz rozhodnutí lze řídit v softwaru pro posouzení rizik strojů. Auditní stopa uchová historii změn a odůvodnění, audit stroje zase uspořádá zjištění, nápravná opatření a důkazy validace.

Shrnutí

Tento případ nedokazuje, že F_WD_TIME = 500 ms je špatná hodnota. Ukazuje něco důležitějšího: změna parametru ovlivňujícího dobu reakce může zneplatnit staré předpoklady o bezpečnosti stroje.

Řetěz byl jednoduchý: změna F_WD_TIME → jiná maximální doba reakce → větší vzdálenost světelné clony → nedostatek místa → nový blokovací ochranný kryt s jištěním → přestavba bezpečnostního systému.

Při K = 1600 mm/s znamená dalších 350 ms celkového času 560 mm požadované vzdálenosti. Tento výsledek nelze zmenšit proto, že v hale chybí místo. Pokud nejde zkrátit čas ani odsunout světelnou clonu, musí se změnit koncepce ochrany.

Sama změna watchdoga nerozhoduje o podstatné změně. Může ale spustit sled událostí, který naplní všechny její předpoklady: digitální změnu po uvedení stroje na trh nebo do provozu, změnu nepředvídanou výrobcem, zvýšení rizika, použití nového ochranného prostředku a přestavbu existujícího řídicího systému souvisejícího s bezpečností.

Nejdůležitější otázka tedy nezní: bylo dovoleno zvýšit F_WD_TIME?

Zní jinak: bylo po této změně znovu vypočteno, změřeno a potvrzeno, že je stroj bezpečný?

Pokud odpověď stojí na aktuálních výpočtech, měření doběhu, posouzení rizika a validaci, změna je pod kontrolou.

Pokud stále stojí na starém protokolu a větě „vždyť jsme světelnou clonu nepřesouvali“, přesně tam začíná problém.

Oficiální zdroje

Siemens

• Dokumentace SIMATIC Safety k nastavení monitorovacích dob
• SIMATIC STEP 7 Safety Advanced — RT Calculator
• Dokumentace SIMATIC Safety k dobám reakce funkcí bezpečnosti
• Příklad funkce bezpečnosti přes IWLAN pro TIA Portal V18
• Dokumentace SIMATIC Safety k převzetí systému a ověření časů

Právní předpisy EU

• Nařízení (EU) 2023/1230 — aktuální znění
• Nařízení (EU) 2023/1230 — bod odůvodnění 26
• Průvodce ke směrnici 2006/42/ES

Normy použité v analýze

• ISO 12100 — posouzení a snižování rizika
• ISO 13855 — umístění technických ochranných prostředků
• ISO 14119 — blokovací zařízení spojená s ochrannými kryty
• ISO 14120 — navrhování a konstrukce ochranných krytů
• ISO 13857 — bezpečné vzdálenosti proti dosahu do nebezpečných zón
• ISO 13849-1 — návrh částí řídicích systémů souvisejících s bezpečností
• ISO 11161 — integrované výrobní systémy

Před použitím normy je nutné určit vydání vhodné pro konkrétní projekt, národní publikaci a aktuální základ pro předpoklad shody.