Funkce nouzového zastavení: stroj stojí. A riziko?

„Když vznikne nebezpečí, obsluha stiskne hřibové tlačítko.“ Tím lze debatu o zabezpečení stroje rychle uzavřít. Tlačítko je namontované, obvod funguje a při zkoušce se stroj zastavil. Zbývá už jen předpokládat, že člověk nebezpečí včas uvidí, stihne zareagovat a udělá přesně to, co předtím nezajistila konstrukce ani ochrana pracoviště.

Jenže reflex obsluhy nelze započítat jako náhradu chybějícího zabezpečení. Preventivní bezpečnostní funkce má zabránit konkrétní nebezpečné události. Funkce nouzového zastavení má umožnit zásah proti existující nebo bezprostředně hrozící nouzové situaci, zabránit jejímu rozvoji a omezit následky. Může pomoci předejít úrazu. Tím se ale nestává náhradou ochrany, která měla nebezpečné události zabránit.

Je to rozdíl mezi skutečně zajištěnou ochranou a vírou, že někdo včas zasáhne. Při posouzení rizika se tento rozdíl nesmí ztratit pod společnou větou „byl použit bezpečnostní systém“. ISO 13850 označuje nouzové zastavení za doplňkové ochranné opatření. Ne proto, že by bylo málo důležité. Proto, že má doplňovat ostatní zabezpečení, nikoli omlouvat jejich absenci.

Druhý omyl začíná větou: „Po stisknutí všechno odpojíme.“ Zní rozhodně. Jenže stojící stroj nemusí být bezpečný stroj. Člověk může zůstat sevřený a vypnutí zařízení, které ho mělo chránit, může situaci ještě zhoršit. Samotný klidový stav neříká, zda bylo nebezpečí zvládnuto.

Úkol nouzového zastavení proto nelze zredukovat na odpojení co největšího počtu zařízení. Je nutné určit, které nebezpečné činnosti mají skončit, v jakém pořadí a co naopak musí kvůli ochraně člověka zůstat funkční. V některých aplikacích budou zapotřebí také další ochranné činnosti, nejen zastavení.

Obsluha musí mít možnost vyvolat reakci jediným úkonem. Před stisknutím zařízení nemá přemýšlet, zda následky odstavení nebudou horší než současné nebezpečí. To musí rozhodnout konstruktér. Čím jednodušší má být zásah člověka, tím méně prostoru smí v projektu zůstat pro nepromyšlené následky reakce stroje.

Jestliže se přejímací zkouška omezila na kontrolu, zda se pohon zastavil, lze potvrdit zastavení a současně neodpovědět na nejdůležitější otázku: provedl stroj správnou činnost vzhledem k dané nouzové situaci? Zápis „E-STOP funguje“ nevysvětluje, čemu brání ostatní ochrany ani co se po stisknutí stane s člověkem. Možnost zastavit stroj není důkazem správné ochrany. A zastavení pohybu nemusí znamenat konec nebezpečí.

Stroj se zastavil. To ještě neznamená, že je člověk v bezpečí.

1. Prevence a nouzová reakce nejsou dvě cesty ke stejnému cíli

„Světelný závěs zastaví stroj. Hřibové tlačítko také. Proč to komplikovat?“ Kdyby o účinnosti zabezpečení rozhodovalo pouze to, zda se nakonec zastaví motor, byla by to rozumná otázka. Stačilo by porovnat dvě schémata, najít stejný stykač a prohlásit, že rozdíl je hlavně v ceně.

Jen se přehlédlo, kdy se stroj zastaví a co se do té doby může stát člověku. Preventivní bezpečnostní funkce má zabránit určité nebezpečné události. Nouzové zastavení má odvrátit nebo zvládnout existující či bezprostředně hrozící nouzovou situaci. V obou případech může být nutné zastavit pohyb. Neznamená to, že se řeší stejný problém.

Světelný závěs nehlásí, že už někdo dosáhl k nástroji

Vezměme pracoviště, kde člověk může dosáhnout na pohybující se nástroj. Předpokládejme, že přístup lze chránit světelným závěsem: nebezpečný pohyb je možné zastavit během cyklu a k nástroji nelze sáhnout mimo detekční pole.

Světelný závěs zjistí přítomnost ruky a vyvolá zastavení. Jeho vzdálenost od nástroje zohledňuje dobu reakce celého systému a doběh stroje. Nebezpečný pohyb musí skončit dříve, než k němu člověk dosáhne. To je úkol této funkce. Ne pouhé přepnutí výstupů ani zobrazení hlášení „bezpečnostní zastavení“ na panelu.

Pokud ruka dosáhne k pohybujícímu se nástroji dříve, než se stroj zastaví, ochrana proti tomuto kontaktu nebyla zajištěna. A to i tehdy, když světelný závěs pracoval správně, řídicí systém přijal signál a pohon provedl příkaz. Všechna zařízení mohou fungovat podle projektu. Chybný může být právě projekt.

Kontrola světelného závěsu proto nespočívá jen v přerušení paprsků. Musí se prokázat, že detekce a zastavení skutečně zabrání události, před kterou měly chránit.

Při nouzovém zastavení musí zásah vyvolat člověk

Zařízení nouzového zastavení nepřebírá úkol detekovat přístup. Umožňuje člověku spustit předem navrženou reakci na situaci, která vyžaduje okamžitý zásah. Nemuselo ještě dojít k úrazu. ISO 13850 zahrnuje také bezprostředně hrozící situaci. Někdo může zpozorovat nebezpečný vývoj a zasáhnout dříve, než vznikne škoda. Jindy je zásah nutný ve chvíli, kdy nebezpečné působení už trvá.

V prvním příkladu ochranu spouští detekce ruky. Ve druhém musí člověk rozpoznat potřebu zásahu a sám jej zahájit. To nelze srovnat větou „obojí zastavuje“.

Kdybychom ze zmíněného pracoviště odstranili světelný závěs a ponechali pouze tlačítko, automatické zastavení po detekci ruky by zmizelo. Úkol odhalit problém a vyvolat reakci by přešel na člověka. Z projektu jsme vyškrtli detekci a do zdůvodnění dopsali, že obsluha byla proškolena. Úspora je skutečná. Rovnocennost ochrany vymyšlená.

Právě proto ISO 13850 označuje nouzové zastavení za doplňkové ochranné opatření a zakazuje používat je jako náhradu technických ochranných opatření a dalších potřebných funkcí. Nouzové zastavení je bezpečnostní funkce. To ale neznamená, že mu lze přidělit jakýkoli ochranný úkol.

Stejné relé rozdíl nevyřeší

Různé funkce mohou sdílet prvky řídicího systému, pokud jsou splněny příslušné požadavky. Nemá smysl násobit přístroje jen proto, aby jich bylo více. Samostatně však musíme určit, co každou funkci spustí a čeho má dosáhnout.

U světelného závěsu ověřujeme ochranu před nebezpečným kontaktem. U nouzového zastavení ověřujeme správnou reakci na posuzovanou nouzovou situaci, která se nemusí omezovat na nehybnost. Zkouška hřibového tlačítka nepotvrdí, že člověk nedosáhne k pohybujícímu se nástroji. Stejně tak správně použitý světelný závěs neodpoví na všechny otázky týkající se potřebného nouzového zásahu.

Společný stykač lze technicky zdůvodnit. Společné políčko „splněno“ pro dva odlišné úkoly ale nestačí zkopírovat.

Stejný výstup neznamená stejnou bezpečnostní funkci. Rozhoduje spouštěcí podmínka, účel a výsledek.

2. „Obsluha to stihne“ není zabezpečení stroje

Představme si pracoviště s ručním podáváním a přístupným řetězovým pohonem. Nebezpečí zachycení bylo rozpoznáno. Do posouzení rizika se jako ochranná opatření zapsalo zařízení nouzového zastavení, označení a proškolení obsluhy. Po jejich započtení bylo riziko prohlášeno za přijatelné.

Řetěz zůstal přístupný. Pracovník vedle něj dál provádí stejné úkony. Změnila se barva buňky v tabulce. Na kryt nezbyl rozpočet. Reflex obsluhy se doplnil zdarma.

Co přesně snížilo riziko?

Samotná montáž tlačítka neomezila přístup k pohonu. Nesnížila četnost práce v jeho blízkosti ani neodebrala mechanismu schopnost zachytit oděv nebo končetinu. Vznikla možnost zahájit nouzové zastavení. Teď je ještě nutné prokázat, za jakých okolností může tento zásah skutečně pomoci.

Kdo si nebezpečí všimne? Podle čeho je rozpozná? Dosáhne k zařízení? Zůstane mezi rozpoznáním situace a vznikem škody dost času? Odpověď „obsluha byla proškolena“ řeší jen část těchto otázek. Potvrzuje přípravu k určitým úkonům. Nedokazuje, že člověk bude fyzicky schopen je v dané situaci provést.

Podpis na prezenční listině nezkrátí doběh stroje a neprodlouží čas do zachycení. Nouzové zastavení může zlepšit možnost vyhnout se škodě nebo ji omezit, takže při posouzení rizika není bezcenné. Tento přínos však musí být svázán s konkrétním průběhem událostí. Nelze jej automaticky přidělit za přítomnost červeného tlačítka.

Pokud u našeho příkladu nebyla prokázána možnost účinného zásahu, nelze dostatečnou ochranu proti zachycení obhájit zápisem „E-STOP a školení“.

Změřil se čas od stisknutí, nikoli od vzniku nebezpečí

Při zkoušce stojí technik u zařízení, ví, co udělá, a sám vyvolá zastavení. Měření ukáže dobu od stisknutí zařízení do zániku nebezpečného pohybu. To je potřebný údaj. Nezahrnuje však kroky, které v reálné situaci nastanou předtím: zpozorování nebezpečí, rozpoznání potřeby zásahu a provedení úkonu.

Pro řídicí systém byla určena doba odezvy. U člověka se prostě předpokládalo, že to stihne. Pracovník přitom může mít obě ruce zaměstnané podáváním dílu. Může stát mimo dosah tlačítka. Nebo potřebuje pomoc právě proto, že už není schopen zásah sám vyvolat.

Ani předpoklad, že zasáhne kolega, nevzniká pouhým zápisem do analýzy. Druhá osoba musí být přítomna, musí situaci vidět a musí mít možnost jednat. U zařízení se proto kontroluje dosažitelnost vzhledem k místům a činnostem, při nichž může být zásah potřebný. Nejen z pohodlné pozice před ovládacím panelem během přejímky.

Funkční obvod nemusí dostat povel včas. To není závada relé, kterou odhalí diagnostika. Je to neověřený předpoklad o účasti člověka. Zkrácení doby odezvy řídicího systému jej neopraví, jestliže hlavní problém vzniká ještě před stisknutím tlačítka.

„Dbejte zvýšené opatrnosti.“ Nejlépe celou směnu

V návodu se objeví věta: „Obsluha musí dbát zvýšené opatrnosti, trvale sledovat chod stroje a při nebezpečí okamžitě použít nouzové zastavení.“ Hodí se téměř ke každému stroji. Právě proto vysvětluje tak málo.

Předpokládejme, že pracovník odebírá hotové výrobky, kontroluje jejich kvalitu a ukládá je do nádoby za sebou. Současně návod požaduje „nepřetržité sledování nebezpečného prostoru“. Aby výrobek odložil, musí se otočit. Neignoruje pokyny, netelefonuje a nevymýšlí vlastní pracovní postup. Dělá přesně to, co projektant předpokládal. Tentýž projektant přitom založil bezpečnost na tom, že se člověk bude dívat opačným směrem.

Obsluha byla navržena pro jednu osobu. Požadovaná pozornost zjevně pro dvě. Příkaz „okamžitě zastavit“ tento rozpor neřeší. Nejdříve si někdo musí všimnout, že je zastavení potřeba.

Pokud koncepce ochrany stojí na nepřetržitém pozorování, ale předepsané úkoly toto pozorování přerušují, jsou předpoklady projektu ve vzájemném rozporu. Přidání slova „zvýšená“ před „opatrnost“ nic neopraví. Jen zvyšuje požadavky na člověka, aniž by měnilo podmínky, ve kterých je má splnit.

Nejde o odstranění všech výstrah z návodu. Jde o to, aby výstraha nenahrazovala práci, která měla být provedena při návrhu ochrany. Informace pro uživatele má při snižování rizika své místo. Nenahrazuje správné použití konstrukčních a ochranných opatření. Stejně tak nouzové zastavení doplňuje zabezpečení, místo aby přenášelo jeho úkol na trvalou bdělost člověka.

Ochranu proto musíme posoudit také pro okamžik, kdy obsluha správně vykonává činnost odvádějící pozornost od stroje. Ne až po události zjišťovat, proč se zrovna nedívala.

„Dávejte pozor“ může být výstraha. Není to technické zabezpečení dodané ve formě věty.

3. Zastavený stroj může člověka dál ohrožovat

Ve specifikaci se často objeví formulace: „Po aktivaci nouzového zastavení se zastaví pohony a stroj přejde do bezpečného stavu.“ První část lze zkontrolovat: pohony přestaly vyvolávat nebezpečný pohyb. Druhá vyžaduje zjistit, co kromě pohybu člověka ohrožuje a co se s tímto nebezpečím stalo.

Připsat za slovo „zastavení“ výraz „bezpečný stav“ je snadné. Ve skutečném stroji toto spojení nevznikne čárkou ve větě. Ukončení pohybu může přerušit rozvoj nouzové situace a současně ponechat člověka pod tlakem, zaklíněného nebo bez možnosti úniku. Stroj nemusí zahájit další cyklus, aby dál působil škodu.

Rychlost klesla na nulu. Přítlačná síla nemusela

Uvažujme soustavu válců, kde přítlak jednoho válce zajišťují pružiny. Končetina je zachycena, někdo aktivuje E-STOP a otáčení se zastaví. Další vtahování skončilo, ale válce zůstávají přitlačené. Pohon provedl příkaz. Pružiny také pracují přesně podle návrhu. Člověk zůstává sevřený.

Neznamená to, že zastavení bylo zbytečné nebo že nezastavilo vtahování. Znamená to, že nevyřešilo celou situaci. Přerušit nebezpečný pohyb a umožnit vyproštění jsou dva různé úkoly, které musí být vzájemně sladěny.

Jestliže analýza počítá se zachycením, musí se zabývat také způsobem uvolnění člověka. Podle konstrukce může být nutné oddálit prvky, uvolnit přítlak nebo použít vhodně navržený zpětný pohyb. Žádné z těchto řešení není automaticky správné pro každý stroj. Problém nezmizel jen proto, že se po zastavení přestal pohybovat.

ISO 13850 neomezuje nouzovou reakci na nehybnost

ISO 13850 připouští, že funkce nouzového zastavení může vyvolat i jiné funkce než samotné zastavení, například obrácení nebo omezení pohybu. Cílem je omezit možnost vzniku škody, nikoli dosáhnout rekordního počtu vypnutých výstupů.

Zastaveny mají být nebezpečné pohyby a činnosti. Z toho neplyne, že každý pohyb v rámci nouzové reakce je zakázaný. Správně navržené přemístění může člověka chránit. Slovo „správně“ je ovšem podstatné.

Při úvaze o zpětném pohybu je nutné ověřit, zda při daném způsobu uvěznění skutečně pomůže. Nezhorší zranění? Nevytvoří jiné místo zachycení? Co se během něj stane s přítlakem? Jaký rozsah, rychlost a způsob ovládání jsou přijatelné? Obrácení znaménka požadované rychlosti ještě není návrh záchranné funkce, i když v programu zabere jediný řádek.

ISO 13850 takové činnosti připouští, ale nestanovuje podrobné požadavky na jejich realizaci. Odkaz na tuto normu tedy sám nepotvrdí, že libovolný zpětný pohyb nebo otevření mechanismu bude bezpečné. To musí prokázat posouzení konkrétního řešení.

Zastavení nesmí odebrat možnost vyproštění

Je třeba rozlišit dodatečnou činnost zahrnutou přímo do reakce na E-STOP od samostatné funkce určené k vyproštění po zastavení. V prvním případě je činnost součástí navržené nouzové reakce. Ve druhém nouzové zastavení neprovede celé uvolnění, ale ponechá možnost uskutečnit je vhodnými prostředky.

Ne každý stroj má po stisknutí zařízení automaticky rozevřít mechanismus nebo spustit zpětný pohyb. ISO 13850 však požaduje, aby nouzové zastavení nepříznivě neovlivnilo jiné ochranné funkce. Výslovně sem patří také uvolňování uvězněných osob.

Proto neobstojí vysvětlení: „Uvolnit ho lze, ale nejdřív musíme obnovit normální provoz.“ Funkce pro vyproštění má umožnit záchranu člověka, nikoli znovu zpřístupnit všechny výrobní pohyby a doufat, že někdo použije pouze ten správný. Podmínky aktivace, dostupné pohyby a jejich omezení musí být součástí projektu. Nemají se vymýšlet až ve chvíli, kdy někdo skutečně potřebuje pomoc.

Po zastavení tedy nestačí otázka „co už stojí?“. Ptejte se také: jaké nebezpečné působení trvá a co bylo navrženo k jeho zvládnutí? Bezpečný stav nevznikne tím, že tak pojmenujeme proměnnou v řídicím systému. Musí být zajištěn na skutečném stroji, včetně situace člověka, který se z něj nedokáže sám dostat.

Nulová rychlost není automaticky nulové nebezpečí. Tlak, gravitace, teplo i uložená energie zůstávají ve hře.

4. Proč může odpojení všeho situaci zhoršit

„Po stisknutí hřibového tlačítka vypneme všechny výstupy.“ Zápis je jednoduchý. Program také. Při přejímce se snadno ověří, že všechno zhaslo. Jenže na jednom výstupu může být nebezpečný pohon a na druhém zařízení, které právě chrání před jiným nebezpečím. Vypnutí obou nepřináší dvojnásobnou bezpečnost.

ISO 13850 požaduje nadřazenost funkce nouzového zastavení, současně však zakazuje zhoršit účinnost ostatních ochranných funkcí. Může být nutné zachovat činnost pomocných zařízení, například elektromagnetických uchopovacích prvků nebo brzd. Není to rozpor. Je to důvod zjistit ještě před nakreslením společného odpojení, co všechno je z daného obvodu napájeno.

Pohon je nutné zastavit. Břemeno se přitom nesmí shodit

Představme si zařízení, které přemisťuje ocelový díl elektromagnetickým uchopovacím prvkem vyžadujícím trvalé napájení. Udržení břemene závisí na jeho činnosti a konstrukce nemá nezávislé zajištění proti uvolnění.

Projektant zahrne pohony i napájení uchopovacího prvku do společného odpojení. Po aktivaci E-STOP se pohony vypnou. Současně zmizí síla držící břemeno. Povel byl proveden bezchybně, včetně odebrání podpory nákladu.

Problémem není nefunkční tlačítko ani slepený stykač. Přístroje udělaly přesně to, co bylo navrženo. Chybou bylo přesvědčení, že všechny elektricky napájené spotřebiče lze bezpečně řešit stejně.

Správný úkol zní: zastavit nebezpečné přemisťování a zachovat bezpečné držení břemene. Způsob realizace musí být zvolen a ověřen pro konkrétní konstrukci. Nejde o univerzální příkaz ponechat určitý obvod pod napětím. Jde o povinnost zachovat účinnost podpory.

„Po E-STOP přece nemá zůstat žádná energie.“ Gravitace není připojena přes náš stykač. S ním se nevypne.

I hasicí systém lze příkladně vypnout

Druhý příklad: stroj má hasicí systém, jehož spuštění vyžaduje elektrickou energii. Řízení i akční člen pro přívod hasiva jsou napájeny z obvodu odpojovaného funkcí E-STOP. Materiál se vznítí. Obsluha aktivuje nouzové zastavení. Pohony se zastaví, ale hořící materiál zůstává nebezpečný. Hasicí systém už nemůže splnit svůj úkol, protože právě přišel o napájení.

Hasicí zařízení je plně funkční. Stačí jen zajistit, aby během požáru nikdo nejdřív nepoužil nouzové zastavení. Taková podmínka do projektu nepatří.

ISO 13850 uvádí hašení požáru přímo jako příklad ochranné funkce, kterou nouzové zastavení nemá nepříznivě ovlivnit. To neznamená, že se během požáru ponechá celý proces beze změny. Musí být určena správná reakce: které činnosti přerušit, jaké zdroje nebezpečí odpojit a jak zachovat účinnost požární ochrany. Povel „vypni všechno“ tyto otázky neřeší. Pouze je obchází.

Kategorie 0 neznamená „celý stroj bez napětí“

ISO 13850 připouští nouzové zastavení kategorie 0 nebo 1, přičemž volba vychází z posouzení rizika. U kategorie 0 se energie dodávaná akčním členům odpojuje okamžitě. Neznamená to okamžité ukončení pohybu; může být zapotřebí další brzdění.

U kategorie 1 zůstává energie akčních členů během řízeného zastavování dostupná a odpojí se až po dosažení klidového stavu. Kategorie popisuje způsob zastavení. Není příkazem vypnout všechna zařízení, která se náhodou ocitla ve stejném schématu.

Volba kategorie tedy nenahrazuje kontrolu uchopovacího prvku, brzdy ani hasicího systému. Stejně tak doba odpadnutí stykače neříká, zda nebezpečný pohyb skončil správným způsobem a zda zastavení nevytvořilo další nebezpečí.

Nejde o ponechání nebezpečných činností pod záminkou zachování ochrany. Jde o oddělení dvou úkolů: přerušit to, co ohrožuje, a nezneškodnit to, co má člověka dál chránit.

Vypnuli všechno. Tak důkladně, že vypnuli i ochranu člověka. Poznámka „podle normy“ to nespraví.

5. Obsluha nemá hádat, zda po stisknutí nebude ještě hůř

„Obsluha ví, co má postupně vypnout.“ To může být přijatelný popis přípravy linky na plánovanou odstávku. Jako vysvětlení nouzového zastavení však znamená, že část úkolu řídicího systému byla přenesena na paměť člověka. Ten má rozpoznat nebezpečí, vybavit si vazby mezi zařízeními a provést správnou posloupnost. Samozřejmě bez chyby, protože pořadí je údajně důležité pro bezpečnost.

Výrobní cyklus je automatizovaný do posledního pohybu. U bezpečného zastavení jsme se rozhodli věřit ruční práci.

ISO 13850 požaduje, aby rozhodnutí použít zařízení nouzového zastavení nevyžadovalo zvažování následků. Člověk má rozpoznat potřebu zásahu. Nemá ještě řešit, zda stisknutí situaci nezhorší.

Jeden úkon člověka neznamená jedinou činnost stroje

Funkce nouzového zastavení se spouští jediným úkonem. Po její aktivaci se musí nebezpečné pohyby a činnosti správným způsobem zastavit bez dalšího zásahu obsluhy. ISO 13850 připouští, že to může vyžadovat předem stanovenou posloupnost. Jedno stisknutí tedy může zahájit několik koordinovaných kroků.

Neznamená to povinnost vypnout všechno současně. A už vůbec ne souhlas s tím, aby zbytek obsluha postupně zastavila sama. Pokud bezpečnost vyžaduje konkrétní pořadí, musí být určeno při návrhu. Stejně jako seznam činností, které mají skončit, funkcí, které musí zůstat účinné, a stavu, kterého má stroj dosáhnout.

Zápis „sekvenční zastavení“ tyto otázky ještě neřeší. Současně není nutné automatizovat každý pozdější záchranný úkon. Požadavek na zastavení bez dalšího zásahu se vztahuje k nebezpečným činnostem stroje. Samostatné prostředky pro uvolnění člověka mohou vyžadovat vědomou obsluhu podle navrženého řešení.

Jedna věc je ovládat funkci vyproštění. Úplně jiná je muset druhým tlačítkem teprve zastavit pohyb, který dál ohrožuje osobu potřebující pomoc.

Každý dodavatel zastavil svou část. Podávání pokračuje

Uvažujme linku pro obrábění dlouhých profilů. Obráběcí stroj a podavač mají samostatná řízení. Zařízení nouzového zastavení u stroje zastaví nástroj, ale nezahrnuje podavač, který dál tlačí profil do pracovního prostoru. V posuzované situaci hrozí, že pokračující posuv člověka přitlačí. Nástroj už stojí. Materiál se dál pohybuje.

Dodavatel vysvětluje: „Podavač má vlastní hřibové tlačítko.“ Má. Člověk ale použil zařízení u místa nebezpečí a potřebné reakce nedosáhl. Rozdělení dodávek je jasné. Teď už jen přimět nouzovou situaci, aby respektovala hranice smluv.

Analýza musí zahrnout vzájemné působení zařízení. Jestliže pokračující podávání udržuje posuzované nebezpečí, musí je reakce zahrnout. Kontrola každého samostatného stroje proti jeho vlastnímu tlačítku nepotvrzuje účinnost reakce celé linky.

Neznamená to, že každé tlačítko musí zastavit celý závod. Znamená to, že oblast působnosti neurčuje hranice rozváděče ani logo firmy, která napsala program.

Otázku „které hřibové tlačítko?“ je nutné vyřešit předem

Výchozím požadavkem ISO 13850 je působení zařízení nouzového zastavení na celý stroj. Norma však připouští rozdělení na oblasti působnosti, například pokud by zastavení všech propojených strojů vyvolalo další nebezpečí nebo zbytečně zasáhlo výrobu.

Takové rozdělení vyžaduje analýzu uspořádání strojů, možnosti rozpoznat nebezpečí, procesních následků a souvisejících ohrožení. Oblasti se mohou překrývat. Aktivace zastavení v jedné oblasti nesmí zvýšit riziko v jiné ani tam znemožnit použití nouzového zastavení.

Vyhnout se zbytečné odstávce je přípustné. Ponechat v chodu nebezpečné podávání tím ale nepovýšíme na optimalizaci výroby.

Člověk musí dokázat spojit zařízení s konkrétním nebezpečím a rozeznat jeho oblast působnosti. ISO 13850 připouští využití umístění a piktogramů a doporučuje nevyžadovat čtení návodu nebo předchozí memorování rozdělení. Označení „S14“ pomůže najít tlačítko ve schématu. Osobě u stroje však stále neřekne, které části se zastaví.

Elektrickou dokumentaci lze studovat u stolu. Při nouzovém zásahu by tato část projektu už měla být hotová. Čím jednodušší má být činnost člověka, tím přesněji musí být předem stanovena reakce stroje. Jednoduché rozhraní nenahrazuje analýzu. Je jejím výsledkem.

V nouzové situaci se nesvolává porada konstruktéra, automatika a technologa. Jejich rozhodnutí už musí být ve stroji.

6. Zápis „E-STOP funguje“ nenahrazuje posouzení ochrany

„Všechna tlačítka byla vyzkoušena. Výsledek vyhovuje.“ Protokol obsahuje označení zařízení, datum a podpisy. Po každém stisknutí se stroj zastavil. Chybí pouze informace, co se považovalo za správnou reakci kromě skutečnosti, že se už nic nepohybovalo.

Tlačítko bylo zkontrolováno podle čísla ve schématu. Funkce ale nejdřív potřebovala požadavky.

Nejdřív kritérium, potom kladný výsledek

Před zkouškou musí být jasné, jakého výsledku má systém dosáhnout. Které činnosti musí skončit, za jak dlouho, v jaké oblasti a za jakých podmínek? Co má zůstat účinné? Jaké chování znamená nesplnění požadavků?

Bez těchto kritérií lze snadno prohlásit za správné přesně to, co se při zkoušce náhodou stalo. Pohon se zastavil po několika sekundách? Zřejmě to tak mělo být. Sousední část pokračuje? Asi do oblasti nepatří. Dokumentace nic neurčila, takže výsledek nemá s čím být v rozporu.

Pokud kritérium dopíšeme až po zkoušce, můžeme navrhnout stroj, který projde vždy. Stačí nepožadovat nic víc, než právě udělal.

Prakticky lze požadavky uspořádat například takto:

Jde o návrh organizace kontroly, nikoli o formulář převzatý z ISO 13850 ani o úplný validační plán. Rozsah analýz a zkoušek je nutné přizpůsobit konkrétní funkci, stroji a použité metodě posouzení.

PL a SIL nedoplní chybějící popis funkce

ISO 13850 požaduje, aby bezpečnostní části řídicího systému realizující nouzové zastavení splňovaly příslušné požadavky ISO 13849-1 a/nebo IEC 62061. Stanovuje také minimum: PLr c nebo SIL 1.

Minimum však neznamená, že tato úroveň automaticky postačí pro každou aplikaci. Požadovanou úroveň je nutné určit pro danou funkci s ohledem na její účel a příslušné podrobné požadavky. Nestačí opsat PL e z katalogového listu relé. Posuzuje se realizace celé funkce, nikoli pouze jeden prvek.

Ani správný výpočet pro celý systém nenahrazuje validaci. ISO 13849-1:2023 odděluje ověření dosaženého PL od validace zahrnující analýzy a zkoušky. Požaduje také kontrolu úplnosti a soudržnosti specifikace bezpečnostní funkce vzhledem k zamýšlenému použití.

To je podstatné. Nestačí ověřit, zda programátor věrně realizoval špatně zadaný úkol. Musíme ověřit i to, zda byl úkol stanoven správně.

Výsledek se musí vztahovat ke skutečně provedenému stroji

Kontrola nekončí okamžikem, kdy ustane pohyb. Funkce musí být účinná ve všech režimech provozu, udržet stav zastavení a zabránit obnovení zastavených činností pouhým spouštěcím signálem. Odblokování zařízení nesmí samo vyvolat opětovné spuštění stroje. Také tyto podmínky musí být předmětem vhodných kontrol.

K požadavkům je vhodné přiřadit konkrétní důkazy potvrzující činnost funkce: položku protokolu, výsledek měření, analýzu a verzi schématu i programu. Příloha nazvaná „test bezpečnosti“ nestačí, pokud není zřejmé, co bylo zkoušeno a podle jakého kritéria se výsledek označil za správný.

Zkoušky musí být naplánovány bez vystavení lidí nebezpečí. Kvůli kontrole koncepce vyproštění se nesimuluje zachycení se skutečným člověkem. Použijí se bezpečné zkušební metody, analýzy a simulace vhodné pro dané řešení.

Neprovedená kontrola není kladný výsledek, ani když formulář nabízí jen jedno zaškrtávací políčko. A po potvrzení nouzové reakce zůstává samostatná otázka preventivní ochrany. Správně provedený E-STOP nesplní požadavek, který měl řešit chybějící kryt nebo jinak navržený přístup.

Pokud se protokol neptá, co se stalo s nebezpečím, kladný výsledek by neměl nikoho příliš uklidňovat.

7. Zabezpečení není slib, že v nouzi bude co stisknout

Preventivní bezpečnostní funkce má zabránit konkrétní nebezpečné události. Funkce nouzového zastavení má umožnit správný zásah, když nouzová situace už existuje nebo bezprostředně hrozí. Obě potřebují návrh, specifikaci a ověření. Jedna nepřebírá úkol druhé jen proto, že obě mohou zastavit pohon.

Projekt s nouzovým tlačítkem není úplný, jestliže chybí ochrana před předvídatelnou událostí. Nenahradí ji školení obsluhy, vysoký PL ani úspěšná zkouška omezená na konec pohybu.

Také samotná nouzová reakce vyžaduje více než rozhodnutí, které výstupy vypnout. Musí být určeno správné zastavení, zachována potřebná ochrana a navrženy činnosti nutné ke zvládnutí situace. To je práce konstruktéra. Člověk u stroje ji nemá dokončovat ve chvíli, kdy jde o sekundy.

Nejde o zlehčování významu E-STOP. Jde o to nepřisuzovat mu ochranu, kterou neposkytuje, a současně mu neodebrat činnosti, které může účinný zásah vyžadovat. Nouzové zastavení má pomoci zvládnout nebezpečnou situaci. Nemá omlouvat chybějící ochranu před jejím vznikem.

Pokud po celém posouzení dokážeme říct pouze „stroj se zastavil“, ověřili jsme zastavení. S bezpečností člověka může být ještě dost práce.

Zastavit stroj je technický výsledek. Zvládnout nebezpečí je bezpečnostní výsledek. Nezaměňujte je.

Zdroje a poznámky

Základem původní analýzy je PN-EN ISO 13850:2016-03, tedy polské zavedení EN ISO 13850:2015 a ISO 13850:2015. Níže uvedené odkazy směřují na záznamy vydavatelů nebo na právní předpisy, nikoli na volně zpřístupněné úplné znění norem. Související články téma rozvíjejí, ale nenahrazují normativní zdroje.

[1] Účel funkce a její doplňková úloha. ISO 13850:2015, články 3.1, 3.5, 3.8 a 4.1.1.1 až 4.1.1.3: účel nouzového zastavení, aktivace člověkem, pojmy bezpečnostní funkce a nouzové situace a zákaz nahrazovat ostatní ochranu. Rozlišení mezi preventivním úkolem a nouzovým zásahem nevylučuje nouzové zastavení z bezpečnostních funkcí.

[2] Světelný závěs a zastavení před nebezpečným kontaktem. ISO 12100:2010, články 6.3.2.5.1 až 6.3.2.5.2: podmínky použití ochranných zařízení citlivých na přiblížení, možnost zastavení, umístění detekčního pole a vazba na řízení. Norma odkazuje v otázce umístění na ISO 13855. Uvedený příklad není výpočtem vzdálenosti ani hotovým návrhem světelného závěsu.

[3] Možnost zásahu člověka a hranice návodu. ISO 12100:2010, články 5.5.2.3.3 a 6.1: faktory ovlivňující možnost vyhnout se škodě nebo ji omezit a zákaz nahrazovat řádná ochranná opatření informacemi pro uživatele. ISO/TR 14121-2:2012, článek 8.4, uvádí nouzové zastavení jako příklad opatření působícího především na možnost vyhnout se škodě nebo ji omezit. Jde o doporučení technické zprávy, nikoli o automatický důvod ke snížení hodnoty v grafu rizika. Dostupnost zařízení řeší ISO 13850:2015, články 4.3.1 až 4.3.2.

[4] Další ochranné činnosti a vyproštění člověka. ISO 13850:2015, předmět normy a články 4.1.1.2 a 4.1.1.5: zachování účinnosti jiných ochranných funkcí a možnost vyvolat jiné činnosti než zastavení. Podrobné požadavky na tyto činnosti nejsou předmětem ISO 13850. ISO 12100:2010, články 6.3.5.2 až 6.3.5.3, rozlišuje nouzové zastavení a prostředky pro uvolnění a záchranu uvězněných osob.

[5] Zachování ostatní ochrany a kategorie zastavení. ISO 13850:2015, články 4.1.1.2, 4.1.1.4 až 4.1.1.5 a 4.1.3. Norma uvádí mimo jiné uvolňování osob, hašení požáru a možnou potřebu zachovat činnost elektromagnetických uchopovacích prvků nebo brzd. Popis kategorií 0 a 1 neznamená povinnost oddělit celé zařízení od všech zdrojů energie.

[6] Jeden úkon, posloupnost a oblasti působnosti. ISO 13850:2015, články 4.1.1.1, 4.1.1.5 až 4.1.1.6 a 4.1.2 až 4.1.2.1: správná reakce bez dalšího zásahu potřebného k zastavení, možnost stanovené posloupnosti, návrh následků použití zařízení a podmínky rozdělení oblastí.

[7] PL, SIL, udržení zastavení a reset. ISO 13850:2015, článek 4.1.5.1: použití ISO 13849-1 a/nebo IEC 62061, minimální PLr c nebo SIL 1 a přípustné sdílení prvků. Články 4.1.1.2 a 4.1.4 řeší dostupnost funkce, udržení zastavení a reset, který nesmí vyvolat opětovné spuštění. Pro konkrétní aplikaci je nutné zohlednit také příslušné podrobné požadavky včetně použitelné normy typu C.

[8] Požadavky funkce a validace. ISO 13849-1:2023, kapitola 8 a články 10.1.1, 10.2 a 10.4.1: ověření dosaženého PL, validace analýzou a zkoušením, kontrola úplnosti a soudržnosti specifikace a předchozí stanovení plánu zkoušek a očekávaných výsledků. Tabulka v článku je autorským návrhem organizace informací, nikoli úplným validačním plánem pro každý systém.

[9] Kontext požadavků práva Evropské unie. směrnice 2006/42/ES — anglické znění v EUR-Lex, příloha I, body 1.2.4.3 až 1.2.4.4, a nařízení (EU) 2023/1230 — anglické znění v EUR-Lex, příloha III, body 1.2.4.3 až 1.2.4.4: doplňková úloha nouzového zastavení, zákaz vytvářet další riziko, ochranné pohyby a zastavení souvisejícího zařízení, jehož další provoz může být nebezpečný. Nařízení se začne obecně používat 20. ledna 2027; přechodná ustanovení a termíny stanovují články 52 a 54. Odkaz na normu sám o sobě není tvrzením o její harmonizaci s konkrétním právním předpisem.

Povaha příkladů a meze použití. Popsaná pracoviště, napájecí systémy, dokumentační zápisy a výroky jsou modelové příklady. Nejde o popis konkrétní nehody ani o návod k záchraně u určitého stroje. Rozevření, uvolnění přítlaku i zpětný pohyb vyžadují řádný návrh a posouzení následků. Článek rozebírá úlohu a logiku funkce, nikoli všechny požadavky ISO 13850; rozsah a výjimky stanovuje kapitola 1 této normy. Kontrolní otázky a závěry týkající se chybných projektových předpokladů jsou technickým rozpracováním uvedených zdrojů.