Obsluha otevře ochranný kryt obráběcího centra. Vloží obrobek do upínacího přípravku a přidržuje ho rukou, aby jej před upnutím správně ustavila. Pokusí se spustit upínací mechanismus. Stroj odmítne: otevřený ochranný kryt blokuje pohyb.
Přesně tak byl navržen. Jenže výrobu je potřeba nějak zahájit.
Představme si, že toto pracoviště sledujeme při přejímce. V rozváděči jsou ověřené komponenty, na stole leží zpráva s výpočtem úrovně vlastností PL. Projektant má schéma, údaje snímače a knihovnu výrobce. Obsluha drží obrobek v ruce. Její úkol nikdo neprojednal stejně důkladně.
Řídicí systém správně plní přidělenou funkci. Před jejím výběrem ale nezazněla otázka, jak má člověk součást upnout. Tuto mezeru má uzavřít SRS — specifikace bezpečnostních požadavků — dříve, než se nepopsaný předpoklad objedná, namontuje a naprogramuje.
ISO 13849-1:2023 vyžaduje výsledky posouzení rizika podle ISO 12100. Z nich odvozujeme bezpečnostní funkce, potřebné chování a požadovanou úroveň vlastností PLr. Zapisujeme je do SRS, která je součástí technické dokumentace a východiskem dalšího návrhu.
Potom přijdou výběr prostředků, výpočty, ověření a validace. Než s nimi začneme, musíme vědět, kde bude při upínání ruka obsluhy. V katalogu bezpečnostního řízení tuto odpověď nenajdeme.
Jak bezpečně upnout obrobek, když je řídicí systém už hotový?
Vraťme se o několik týdnů zpět. Projekt zrychluje, protože někdo navrhne osvědčenou sestavu z předchozího stroje: snímač ochranného krytu, bezpečnostní řízení a vhodný pohon. Data jsou dostupná, knihovna připravená a dodavatel zná termín.
Otázka ručního ustavení obrobku se odloží na uvádění do provozu. Tehdy přece bude všechno vidět.
A opravdu. Teď problém vidí všichni. Obsluha potřebuje pohyb při otevřeném ochranném krytu, zatímco řídicí systém má tento pohyb zastavit. Padne návrh přidat do programu výjimku. Nakoupená zařízení začínají určovat požadavky ochrany, přestože by je měla pouze realizovat.
Zastavme se u upínacího přípravku. Proč musí obsluha obrobek přidržovat? Mohlo by jeho polohu předem určit mechanické ustavení? Který pohyb je skutečně nezbytný a který po změně způsobu upnutí zmizí?
Na odpovědích závisí koncepce ochrany. Možná se změní upínací přípravek. Možná zůstane nutný pohyb při přístupu — potom musíme stanovit podmínky jeho povolení, omezení a zastavení. Samotná výjimka v logice bezpečnost této činnosti nevyřeší.
Stejné řízení, jiný úkol
Na předchozím stroji mohl způsob zakládání vypadat jinak. Představme si, že tam přípravek držel volně odloženou součást a obsluha zavřela dveře ještě před upnutím. Tady zůstává její ruka uvnitř déle.
Typové číslo řízení souhlasí. Podmínky použití už souhlasit nemusí. Před převzetím starého projektu kontrolujeme přístup, pořadí činností, potřebné pohyby a chování zatížení. Věta „na minulém stroji to fungovalo“ pořád popisuje minulý stroj.
Taková zjištění mohou změnit výkresy, volbu zařízení i program. Mnohem hůře se přijímají ve chvíli, kdy je rozváděč hotový a v harmonogramu zbývá jen položka „přejímka“. Ruka obsluhy pak překáží nejen stroji, ale také uzavření projektu.
Opakovaný výpočet obvodu spor u upínacího mechanismu nerozhodne. Dosažený PL se vztahuje k realizované funkci a k podmínkám jejího posouzení. Jestliže jsme hodnotili zastavení po otevření ochranného krytu, výsledek sám nedoplní požadavky pro ruční upínání.
Můžete mít dva kanály a ani jeden požadavek pro činnost, kterou obsluha právě provádí.
Certifikovaná zařízení a dříve validované podsystémy jsou užitečné. Stále však prokazujeme vlastnosti celé bezpečnostní funkce v konkrétní aplikaci — s jejím upínacím přípravkem, zatížením a přístupem. Výrobce řízení nezná způsob, jakým ustavujeme obrobek. Jeho certifikát jej nemohl posoudit.
Pro specialistu na automatizaci je to zásadní hranice odpovědnosti. Může správně propojit zařízení, napsat logiku a zdůvodnit PL, a přesto dostat neúplné zadání. Výsledky posouzení rizika potřebuje dříve, než předpoklady napevno zapíše do programu.
Pokud chybějí, vracíme se k projektovému týmu. Rozhodujeme o ochraně této konkrétní práce: kdo určí podobu upínacího přípravku, kdo stanoví potřebné pohyby a kdo popíše podmínky přístupu. K programování má přijít dohodnutý požadavek.
Odložme tedy katalog a projděme s obsluhou celou činnost. Hlavně její začátek, který probíhá před zavřením ochranného krytu. Teprve potom zjistíme, co požadujeme od bezpečnostních částí řídicího systému SRP/CS. Dva kanály neopraví úkol, který nikdo nerozpoznal.
Obsluha vstupuje do projektu ještě před zavřením ochranného krytu
Obsluha přinese obrobek, položí jej, upraví jeho polohu a upne ho. Teprve potom zavře ochranný kryt a spustí obrábění. Nakonec dveře znovu otevře a součást vyjme.
Jestliže popis práce začínal tlačítkem START, vypadla z něj právě činnost, bez které nemá smysl toto tlačítko stisknout.
K tomu přidejme chybně založený obrobek, výměnu nástroje, čištění a obnovení provozu po přerušení. Při každém zásahu může člověk stát jinde, blíže k jiným pohybům a energiím.
Věta „obsluha podle návodu“ projektantovi tuto práci neukáže. Neříká ani to, co se smí během zásahu pohybovat a co musí zůstat nehybné.
ISO 12100 požaduje začít stanovením mezí strojního zařízení a jeho používání. Určujeme uživatele, provozní režimy, materiály a zásahy. Zohledňujeme fáze životního cyklu stroje i důvodně předvídatelné nesprávné použití.
Teprve na tomto základě identifikujeme nebezpečí a odhadujeme riziko. Následuje zhodnocení, zda je nutné riziko snížit. Díky tomu přestane být „odstranění zaseknutí“ jedním pohodlným řádkem. Ukáže se jako přístup z druhé strany a řízený pohyb mechanismu.
Rozhovor přímo u pracoviště to odhalí rychle. Jestliže ochrana znemožňuje nezbytný úkol, může zároveň svádět k obcházení ochranných opatření. Řešení je nutné změnit dříve, než se obcházení stane běžným provozním postupem.
Možná bude nejlepší změnit upínací přípravek
První rozhodnutí u našeho upínacího mechanismu vůbec nemusí souviset s řízením. Přípravek, který ustaví součást bez ruky v prostoru sevření, mění samotnou expozici člověka.
Právě inherentně bezpečným konstrukčním řešením dává ISO 12100 při snižování rizika přednost. Potom přicházejí technická ochranná opatření — ochranné kryty nebo ochranná zařízení — a doplňková ochranná opatření. Následují informace pro používání.
Pro vybranou koncepci stanovíme úkoly řízení. Má zabránit určeným pohybům během přístupu, umožnit potřebné ustavení a zajistit požadované držení obrobku po ztrátě tlaku. Z těchto závěrů odvozujeme bezpečnostní funkce a jejich rozsah.
Úkoly obsluhy odhalují důležitou část problému, posouzení však zahrnuje celý stroj. Zůstává například vymrštění materiálu, hluk nebo porucha konstrukce — i když člověk právě neprovádí ruční zásah.
Celý rozhodovací postup ukazuje příklad posouzení rizika podle ISO 12100. Při volbě ochrany pomůže také rozbor technických ochranných opatření.
ISO 13849-1 očekává výsledky této práce
Článek 4.5 ISO 13849-1:2023 vyžaduje výsledky posouzení rizika, informace o potřebných funkcích, jejich podílu na snížení rizika a PLr. Článek 5.1 přímo odkazuje na podrobné informace z posouzení podle ISO 12100.
To jsou vstupní údaje návrhu. Když začneme elektrickým schématem, nezískáme je. Jen rychleji nakreslíme první stranu dokumentace.
V SRS popisujeme funkce a funkční požadavky, stanovujeme PLr a před zahájením návrhu kontrolujeme úplnost. Tak postupují články 5.1 až 5.4. PLr patří už do dokončené SRS.
Dřívější zápis bez PLr zůstává pracovní. Poznámka „určí se při uvádění do provozu“ stanovuje termín další práce; bezpečnostní požadavek neuzavírá.
Konstruktér zná upínací přípravek, technolog způsob ustavení, uživatel provozní zásahy a specialista na automatizaci možnosti řízení. SRS zachycuje výsledek jejich společného rozhodnutí. Právě zde lze včas zjistit, že plánovaná funkce stroj sice zastaví, ale současně znemožní jeho obsluhu.
Když přeskočíte ISO 12100, začínáte práci s ISO 13849-1 bez potřebných odpovědí. Posouzení rizika určí nezbytnou ochranu. SRS zaznamená požadavky na řízení včetně PLr. Teprve takový zápis vytváří použitelné zadání projektu.
Pohyb potřebný člověku nezmizí jen proto, že ho označíme za nebezpečný
Vracíme se k návrhu upínání. Někdo připomene, že zastavení po otevření ochranného krytu je přece ověřená funkce. Ano. Pořád ale musíme ustavit obrobek, kterým výroba začíná.
Normy pro konkrétní druhy strojů pomáhají rozložit obecné slovo „zabezpečení“ na činnosti, pohyby a podmínky. Pak je vidět, proč jedna správná reakce řízení ještě nepopisuje ochranu celé práce.
Upínací mechanismus musí obrobek upevnit také před obráběním
U obráběcího centra oddělujeme automatický provoz od ručního ustavování. Pro oba případy ověřujeme potřebné pohyby, přístup k jejich účinkům a ochranu. Vyžaduje-li přípravek pohyb při otevřeném ochranném krytu, musí návrh zajistit bezpečné provedení této činnosti.
Odstranění blokování by změnilo program. Ruka a upínací čelisti by zůstaly na stejném místě.
ISO 16090-1 u obráběcích strojů spadajících do jejího rozsahu řeší upínání obrobku, monitorování upnutí i podmínky zahájení práce. Otázky tedy nekončí u polohy dveří.
Je součást bezpečně držena? Které pohyby lze povolit? Co nastane při ztrátě energie? Odpovědi mohou vynutit změnu upínacího přípravku, způsobu řízení nebo celé posloupnosti upínání.
Pokud norma typu C stanoví požadavek nebo PLr, přebíráme současně popis použití a související podmínky. Písmeno se do tabulky kopíruje snadno. Mnohem snáze se přehlédne, že pocházelo z řádku pro jiný přístup nebo jiný stav stroje.
SRS musí další osobě umožnit rozhodnutí zpětně dohledat: pro kterou činnost byla funkce zvolena a proč se očekává právě tato ochrana.
Vertikální balíkovací lis dokončil lisování. Teď je nutné odebrat balík
Přesuňme se k vertikálnímu balíkovacímu lisu na odpad. Projektant posoudil pohyb lisovací desky během lisování. Dveře byly zavřené, přístup monitorovaný a cyklus skončil.
Obsluha však musí balík ještě svázat a odebrat. Otevře dveře, změní polohu a použije pohyby potřebné k vyjmutí. V popisu cyklu už stroj skončil. Člověk u stroje svou práci teprve dokončuje.
EN 16500:2014 věnuje této fázi samostatné požadavky. Jde o vymezené uzavřené vertikální balíkovací lisy s ručním vázáním, nikoli o libovolný stroj na lisování odpadu.
Článek 5.1.4 řeší vyhazování balíku, ovládání mimo oblast jeho převrácení a viditelnost. Při přístupu otevřenými dveřmi k nebezpečnému pohybu desky směrem nahoru předpokládá dvouruční ovládání. Článek 5.2.2 této funkci přiřazuje PLr d.
Do SRS zapisujeme společně činnost, pohyb a podmínku ochrany. Kontrolujeme také zpětný pohyb vyhazovacího systému. Samotné slovo „lisování“ nepokrývá všechny situace při odebírání balíku.
Citované vydání EN 16500 odkazuje na EN ISO 13849-1:2008. Tento vztah vydání je při výběru norem nutné zohlednit. PLr d z popsaného případu se tím nestává společným hodnocením celého balíkovacího lisu.
V zastavené zóně se materiál stále pohybuje
Obsluha nyní odstraňuje zablokovaný materiál mezi dvěma stroji. Pohony v její zóně stojí. Sousední zařízení však dál přivádí materiál technologickým otvorem. Místní řízení svůj úkol splnilo.
Materiál nezná hranice dodávek.
ISO 11161:2007 s A1:2010 zaměřuje pozornost na pracovní zóny a rozhraní integrovaného výrobního systému. Článek 8.1.4 řeší ochranu při toku materiálu mezi zónami.
Podle článku 8.8.1 zahrnuje specifikace mimo jiné provozní režimy, interakce lidí, chování systému, rozhraní a reakce na poruchy. Dvě samostatné zprávy o výpočtech nechávají integrátorovi právě tuto společnou část úkolu.
Je třeba dohodnout rozsah zastavení nebo jiné vhodné zabezpečení rozhraní, přístup a chování sousedních zařízení. Také při ztrátě potřebného signálu. Člověk odstraňující zablokovaný materiál potřebuje ochranu po celou dobu zásahu.
Věta „rozhraní řeší integrátor“ dobře označuje adresáta práce. Sama však tuto práci neprovede. Rozsah ochrany vyplývá i z nebezpečí přenášených tokem materiálu.
Mimo automatický cyklus má člověk stále práci. Upnutí, odebrání balíku i odstranění zablokovaného materiálu vyžadují vlastní analýzu pohybů, přístupů a energií. SRS musí vést ochranu celou nezbytnou činností, ne pouze snadno popsanou částí cyklu.
Upínací mechanismus se zastavil. Co se má stát s obrobkem?
„Po otevření ochranného krytu se stroj musí zastavit.“ Specialista na automatizaci ukazuje na nehybný upínací mechanismus. Konstruktér sleduje obrobek, který obsluha stále drží rukou.
Oba vidí stejný stroj. Slovo „zastavit“ jim jen na chvíli dovolilo neřešit, co přesně se má fyzicky stát.
Ve specifikaci proto uvádíme název bezpečnostní funkce, její vztah k nebezpečí, spouštěcí událost a reakci zahájenou výstupy. Vyjmenováváme konkrétní pohyby a chráněnou oblast. Teprve pak lze rozhodnout o zastavení a požadovaném stavu po zastavení.
Ruční ustavování při přístupu dostane vlastní požadavky odpovídající zvolené koncepci ochrany. Samostatně popíšeme, že v automatickém režimu musí otevřený ochranný kryt zabránit spuštění určených nebezpečných pohybů.
Zastavení a zabránění neočekávanému spuštění mohou využívat společné podsystémy. Každá funkce však potřebuje jednoznačný popis a kontrolu. Ochrana obsluhy nesmí zmizet ve chvíli, kdy do řídicího systému přijde další povel.
Znovu padne návrh: vypněme všechno
Ve schématu vypadá návrh přesvědčivě. Vypneme výstupy, odstraníme energii a věc se zdá uzavřená. Konstruktér však doplní jednu podmínku: při ztrátě tlaku může upínací mechanismus obrobek uvolnit.
V tu chvíli už nemluvíme jen o zastavení pohybu. Musíme rozhodnout také o držení zatížení a době zachování požadovaného stavu. Povel k vypnutí neříká, co po jeho vykonání obrobek udrží.
SRS popisuje fyzický stav vyplývající z posouzení rizika: zastavené pohyby a potřebné držení součásti. Pokud je součástí systému svislá osa zatížená gravitací, přidává se ochrana proti poklesu. Teprve projekt ukáže, jak budou požadavky realizovány.
Tým projde ztrátu napájení, nepřípustné kolísání a návrat energie. Pro každou situaci stanoví chování systému. Obnovení tlaku nebo napětí tak nezůstane nepopsanou částí sekvence.
Samostatně řešíme zjištěnou poruchu: reakci vedoucí ke stavu zajišťujícímu bezpečnost a zachování tohoto stavu do opravy. U současně aktivních funkcí stanovujeme priority a řešíme konflikty. Zastavení nesmí bez posouzení zbavit zatížení potřebné ochrany.
Snímač už zareagoval. Mechanika potřebuje čas
Člověk nebude u ochranného krytu čekat tak dlouho, jak se to hodí mechanismu. Sahá na konkrétní místo. Tým se proto vrací k poloze člověka, možnostem přístupu a době potřebné k dosažení požadovaného stavu.
Specialista na automatizaci ukáže dobu odezvy snímače. Potom však stále pracuje logika, komunikace, akční členy a mechanika. SRS potřebuje požadavek na celkovou dobu reakce stroje včetně zastavení pohybu.
Při umisťování ochranných zařízení podle ISO 13855 potřebujeme správné údaje o zastavování a podmínky jejich posouzení. Výsledek může změnit zatížení, nástroj, teplota i opotřebení. Katalogový údaj nenahrazuje měření chování celého stroje.
Pokud údaje chybějí, zůstává otevřený úkol: kdo je dodá a která rozhodnutí čekají na výsledek. Pracovní hodnotu je později nutné potvrdit, nebo změnit návrh.
Jinak dodavatel postaví ochranný kryt kolem čísla, které specialista na automatizaci považoval jen za odhad. Při přejímce pak oba shodně potvrdí, že se o čase přece mluvilo.
Obsluha změní režim a potom zavře dveře
Obrobek stále čeká na upnutí. Pokud koncepce dovoluje pohyb při přístupu, SRS stanoví režim a podmínky tohoto pohybu. Vybraný režim musí být jednoznačný a přechody mezi režimy musejí zachovat potřebnou ochranu.
Samotná volba režimu pohyb nespouští. Ani název „servis“ na obrazovce nic u upínacího mechanismu nezabezpečí. Teprve definované chování vytváří požadavek, který lze naprogramovat.
Současně posuzujeme čištění a opravy upínacího přípravku. Některé práce vyžadují odpojení stroje od všech zdrojů napájení a zajištění odpojovacích zařízení v odpojené poloze. Jiné potřebují vhodně chráněný pohyb. Výsledky posouzení těchto činností se musejí promítnout do požadavků.
Řešení určené k ustavení součásti nepřenášíme automaticky na každou opravu. Člověk může stát jinde a dosáhnout na jiná nebezpečí. Změna názvu činnosti v návodu jeho přístup k mechanismu nezmění.
Po upnutí obsluha zavře ochranný kryt. Snímač potvrdí polohu dveří. Sám ale neodpoví, zda někdo zůstal uvnitř zóny nebo zda fungují ostatní ochranná opatření. Při přítomnosti druhé osoby jsou tyto otázky ještě důležitější.
SRS vede návrat do provozu přes stanovené podmínky resetu a opětovného spuštění. Pokud posouzení rizika vyžaduje ruční reset, určíme jeho místo mimo nebezpečnou zónu, s potřebným výhledem a bez možnosti aktivace ze zóny.
Reset je záměrný úkon odlišný od spuštění. Přijetí signálu vyžaduje sledování jeho změny. Reset sám nesmí vyvolat nebezpečí a příslušné bezpečnostní funkce i technická ochranná opatření už musejí být účinné.
U nepřehledné části zóny potřebujeme vhodné řešení, například resetovací sekvenci nebo monitorování. Norma připouští také odůvodněný automatický reset, mimo jiné při nepřetržité detekci osoby zabraňující vzniku nebezpečné situace.
V dokumentaci zůstává rozhodnutí pro konkrétní použití. Jestliže je reset bezpečnostní funkcí, stanovujeme také jeho PLr. Nelze předpokládat, že každé tlačítko se stejným nápisem plní stejnou úlohu.
Pokud vedle pracuje podavač, musí jeho dodavatel znát požadovaný stav při přístupu k upínacímu přípravku a reakci na ztrátu signálů. Integrátor sladí rozhraní s ostatními funkcemi. Věta „STOP byl odeslán“ popisuje vysílač. Specifikace musí určit, jak a kdy zareaguje příjemce.
Jeden obrobek ještě nepředstavuje všechny provozní podmínky
Obsluha předvedla upnutí jednou, ale během směny je bude opakovat. Zaznamenáváme četnost vyžádání funkce i spínání jejích prvků. Přístup u každé součásti vytváří jiné provozní požadavky než občasný zásah.
Přidává se prostředí, čištění a údržba, při nichž si řešení musí zachovat vlastnosti. Údaje zařízení vztahujeme ke skutečné intenzitě práce a podmínkám použití. To platí i tehdy, když stejný komponent už pracuje na jiném stanovišti.
Před uzavřením SRS dostane každá bezpečnostní funkce PLr a jeho základ: posouzení rizika nebo použitelné ustanovení normy typu C včetně podmínek. Pro náš upínací přípravek je rozhodující požadavek pro tuto aplikaci.
Dosažený PL bude později výsledkem posouzení realizace. Teď tým určuje, co od realizace požaduje. Podobný zápis ve dvou sloupcích tabulky nesmí tento rozdíl zakrýt.
Zapišme to tak, aby další specialista na automatizaci nemusel hádat
Předpokládejme, že tým po analýze vybral mechanické lůžko podpírající obrobek. Obsluha může součást položit a stáhnout ruce před zavřením ochranného krytu a spuštěním upínacího mechanismu. Jde o jednu možnou variantu. Pokud úkol stále vyžaduje pohyb při otevřeném přístupu, potřebuje odpovídající ochranu a vlastní požadavky.
Nyní rozhodnutí zapíšeme do karty jedné funkce. PLr d, 200 ms a ostatní hodnoty níže jsou fiktivní údaje příkladu, nikoli parametry určené ke kopírování do stroje. Vlastní projekt musí tyto hodnoty zdůvodnit a použít příslušné požadavky normy typu C.
| Pole SRS | Příklad požadavku | ISO 13849-1:2023 |
|---|---|---|
| Funkce a důvod / SF-01, APP-01 | SF-01: zastavení a znemožnění poháněného pohybu upínacího mechanismu při přístupu k lůžku. Úkol TASK-L01: uložení obrobku 12 kg; HS-01: prsty v prostoru čelistí. Vazba na posouzení rizika: RA-L01. | 5.1; 5.2.1.2; 5.2.1.3 a) |
| Spouštěcí událost / REQ-01 | Požadavek na přístup nebo ztráta požadovaného stavu zavření či blokování ochranného krytu při povoleném pohybu upínacího mechanismu. Otevřený přístup udržuje blokování pohybu. | 5.2.1.3 b) |
| Požadovaný účinek / REQ-02 | Zastavit pohyb čelistí a zabránit dalšímu poháněnému pohybu během přístupu. Nepovolit odblokování ochranného krytu před splněním všech potřebných podmínek. Obrobek zůstává podepřen nezávislým mechanickým lůžkem. | 5.2.1.3 c) |
| PLr a základ / REQ-09 | PLr d — výukový předpoklad přiřazený ve fiktivním RA-L01. Ve skutečném projektu musí hodnota vycházet z vlastního posouzení rizika nebo použitelného požadavku normy typu C. Nejde o PL dosažený řídicím systémem. | 5.2.1.3 d); 5.3 |
| Čas a přístup / REQ-03 | Do 200 ms — pouze příklad limitu od události na ochranném krytu do zastavení určeného pohybu včetně mechaniky. Ochranný kryt zůstává blokovaný do splnění všech podmínek bezpečnosti; samotná hodnota 200 ms bezpečný přístup nezdůvodňuje. | 5.2.1.3 e) |
| Provozní režimy / REQ-04 | Automatický provoz a ruční zakládání. V této variantě nepovolujeme poháněné upínání při otevřeném ochranném krytu. Vyžaduje-li je skutečný úkol, vracíme se k posouzení rizika a specifikaci ochrany. | 5.2.1.3 f) |
| Rozhraní / REQ-05 | Potvrzení požadovaného stavu upínacího mechanismu je pouze jednou z podmínek přístupu. Požadovány jsou také příslušné stavy vřetena, os a podavače popsané v dalších funkcích. Potvrzení přijetí signálu nenahrazuje požadovanou reakci. | 5.2.1.3 g) |
| Porucha / REQ-06 | Zjištěná porucha ovlivňující funkci blokuje nový pohyb i povolení přístupu, dokud není dosažen požadovaný stav. Tento stav se udržuje do odstranění příslušné poruchy. | 5.2.1.3 h) |
| Energie / REQ-07 | Ztráta a návrat energie nezpůsobí nebezpečný pohyb ani uvolnění podepřeného obrobku. Mechanické lůžko vyžaduje samostatné konstrukční zdůvodnění; nepřiřazujeme mu PLr jen proto, že je uvedeno v této kartě. | 5.2.1.3 i) |
| Četnost a prostředí / APP-02, 04 | Příklad: 40 přístupů/h, 16 h/den, 250 dnů/rok, tedy 160 000 vyžádání/rok. Spínání jednotlivých prvků se zaznamenává samostatně. Předpokládá se vnitřní hala, 5–40 °C, chladicí kapalina a třísky; jiné podmínky je nutné zohlednit. | 5.2.1.2; 5.2.1.3 j) |
| Priorita / REQ-10 | Požadavek funkce má přednost před běžným povelem START upínacího mechanismu. Součinnost s ostatními funkcemi nesmí zbavit obrobek držení ani povolit předčasný přístup. | 5.2.1.3 k) |
| Norma typu C / APP-03 | Kontroluje se rozsah použití a požadavky mimo jiné pro upínání a přístup. U této hypotetické obráběcí stanice posuzujeme ISO 16090-1. Přesné články a výsledek jejich použití musejí být zapsány před uzavřením SRS. | 5.2.1.3 l) |
| Návrat do provozu / REQ-08 | Po obnovení požadovaných stavů následuje samostatný záměrný reset a samostatný povel ke spuštění podle přijatého řešení. Zavření ochranného krytu, reset ani návrat napájení samy nespustí upínací mechanismus. | 5.2.1.3 m) |
| Kontrola a verze | REQ-01…10 se propojí s příslušnými analýzami, zkouškami VT-01…06, návrhem a hodnocenou konfigurací. Posouzení PL a priorit vyžaduje vlastní důkazy. Výsledky zůstávají nepotvrzené do řádného ověření. Změna obrobku, režimu nebo parametrů vyžaduje posouzení dopadu. | 5.4; 10; 12 a) |
Karta jedné funkce je pouze část SRS. Doplňují ji meze stroje, úkoly lidí, vstupy z posouzení rizika, ostatní funkce, rozhraní a řízení dokumentu. Každé „nevztahuje se“ potřebuje zdůvodnění. Chybějící PLr ani nevyřešenou podmínku přístupu nezakryje podpis pod hotovým formulářem.
Anglický dokument SafetySoftware obsahuje rozpracovaný případ, rozšířenou kartu SF-01, kritéria zkoušek a vyplnitelné karty projektu, funkcí a vazeb na důkazy. Příklad ukazuje způsob práce; pole formuláře musejí být vyplněna skutečnými rozhodnutími týmu.
Stáhnout příklad SRS a vyplnitelné formuláře (PDF, anglicky)
SRS má vést ochranu celou činností, také při ztrátě energie. Spouštěcí událost, pohyb, držení obrobku, celková doba reakce stroje a návrat do provozu potřebují dohodnuté požadavky. Zápis v technické dokumentaci dává projektantovi zadání a validaci kritéria kontroly.
Konstruktér a specialista na automatizaci potřebují stejné závěry. Požadavky proto mají názvy, identifikátory, verze a vazby na posouzení rizika. Později se doplní odkazy na návrh a výsledky kontrol.
Lze je spravovat v dokumentu, kartách nebo řízeném registru. Norma vyžaduje obsah, nikoli jedinou povinnou podobu tabulky. Takto připravený zápis je základem návrhu podle 5.2.1.1, zahrnuje požadavky podle 5.2.1.3 a vstupuje do technické dokumentace uvedené v kapitole 12 a).
Uživatel a integrátor dostávají informace potřebné pro své úkoly. Z toho automaticky neplyne povinnost předat celou interní projektovou dokumentaci. Rozsah informací se určuje podle povinností a konkrétní aplikace.
Když se specialista na automatizaci vrátí k programu, najde požadavky pro stejnou ruku, stejný upínací mechanismus a stejné následné stavy. Při změně přípravku bude zřejmé také to, proč byly požadavky přijaty. Rozhodnutí už nezávisí na paměti účastníků schůzky.
Teď musíme provést to, co jsme zapsali
Víme, jak obsluha ustavuje součást, které pohyby potřebuje a co očekáváme při ztrátě energie. Bezpečnostní funkce dostaly PLr. Někdo už může na poradě prohlásit, že bezpečnost je vyřešena.
Zatím jsme se jen dohodli, co se má udělat. Stroj to ještě neumí.
Volíme architekturu a podsystémy, vytváříme logiku a stanovujeme parametry. Kontrolujeme zatížení, diagnostiku, prostředí a součinnost s mechanikou. Ventil musí dostat systém do požadovaného stavu a funkce pohonu musí odpovídat skutečnému pohybu.
Také upínací přípravek je nutné vyrobit a ověřit. Jeho geometrie má umožnit zvolený způsob upnutí. Správně naprogramovaná podmínka nenahradí součást, která měla držet obrobek bez podpory rukou.
Dříve validované podsystémy mohou ušetřit práci. ISO 13849-1 jejich použití připouští při splnění integračních podmínek. Zachováváme údaje a omezení použití a následně zdůvodňujeme propojení celé funkce.
Při posuzování dosaženého PL podle ISO 13849-1 kontrolujeme vztah k PLr, spolehlivost, architekturu, diagnostiku a poruchy se společnou příčinou. Přidávají se systematické poruchy, software, prostředí a ergonomie.
Program přesto může povolit pohyb v nesprávném režimu. Model spolehlivosti zůstane správně vypočten, ale chyba bude v logice povolení. Právě tuto podmínku musíme najít a vyzkoušet.
Stejně tak vyloučení poruchy vyžaduje podklad platný pro skutečnou montáž a používání. Výpočtový nástroj nezkontroluje upínací přípravek po úpravě provedené ve výrobní hale. Někdo mu musí dodat pravdivé předpoklady.
Za prohlášením musí stát veškerá provedená práce
Samotná SRS nestačí k prohlášení plné shody s ISO 13849-1. Potřebujeme příslušné činnosti návrhu, ověření, validace a dokumentování podle všech použitelných požadavků.
Číslo normy se do prohlášení napíše rychle. Práce, kterou má tento řádek představovat, zabere podstatně více místa.
Chybějící ISO 12100 v seznamu norem samo o sobě nedokazuje, že nebylo provedeno posouzení rizika. Dokazuje je obsah, rozhodnutí a jejich využití v projektu. Naopak zadání „udělejte PL d“ bez popisu úkolu a potřebné ochrany stále postrádá vstupní údaje.
Po realizaci řešení se vracíme k posouzení rizika celého stroje. Kontrolujeme zamýšlené snížení rizika a to, zda bylo dosaženo bez zavedení nových nebezpečí.
Změněný přípravek může součást držet lépe, ale vyžadovat jiný způsob vyjmutí. Také tuto další činnost posuzujeme. Iterativní postup ISO 12100 se vrací ke skutečnému stroji, nikoli pouze k opravenému výkresu.
SRS otevírá práci, kterou je později nutné prokázat. Výběr, integrace, posouzení PL, ověření a validace mají doložit, že realizovaná bezpečnostní funkce splňuje požadavky za předpokládaných podmínek. Samotný dokument nic z toho neprovede.
Stroj se zastavil. Zkouška ještě neskončila
Znovu otevíráme ochranný kryt. Tentokrát víme, které pohyby mají skončit, v jakém čase a jak má být obrobek držen. Řídicí systém hlásí očekávaný stav. Osoba provádějící kontrolu však sleduje také mechanismus.
Je nutné potvrdit pohyb, zatížení, držení i návrat do provozu. Každý účinek vztahujeme ke konkrétnímu požadavku. Indikace na obrazovce ještě nepředstavuje výsledek celé zkoušky.
Tato práce začala před stavbou stroje. Článek 5.4 vyžaduje přezkoumání SRS před návrhem: odpovídají funkce posouzení rizika a obsahuje zápis potřebné požadavky?
Validace SRS podle 10.2 pomáhá odhalit opomenutí, chyby a nesoulad s použitím, podmínkami a důvodně předvídatelným nesprávným použitím. Chybějící úkol se hledá podstatně snáze, dokud upínací přípravek existuje jen na výkresu.
Validace realizace kontroluje splnění SRS a ostatních použitelných požadavků. Využívá analýzy a zkoušky podle plánu. Analýzy mohou probíhat souběžně s návrhem; závěrečné zkoušky fyzického stroje uzavírají příslušnou část práce.
Ověřme také pohyb, který obsluha potřebuje
U ochranného krytu kontrolujeme spuštění funkce, reakci, čas a zachování požadovaného stavu. Potom přecházíme k ustavování obrobku. Pokud SRS dovoluje pohyb při přístupu, zkoušíme jej právě za těchto podmínek.
Následuje změna režimu, dokončení činnosti, reset a opětovné spuštění. Obsluha musí projít celý dohodnutý pracovní postup. Jedno úspěšné otevření dveří ještě nereprodukuje to, co bude dělat u dalších součástí.
Na lince sledujeme i druhý stroj. Potvrzení přijetí signálu jeho řídicím systémem je jen část kontroly. Zbývá prokázat požadovaný stav propojeného systému včetně zpoždění a vzájemného působení zařízení.
Samostatné protokoly dodavatelů materiál na rozhraní nezastaví. Toto chování se musí vyzkoušet v dohodnutém rozsahu integrace.
Plán zahrnuje příslušné analýzy a zkoušky chování při poruchách, ztrátě signálů a změnách napájení. Zkoušky vyžadují připravené, řízené podmínky a ochranu kompetentních osob, které je provádějí.
U našeho upínacího přípravku se znovu vrací otázka držení součásti po přerušení běžného provozu. Zastavení pohybu a zachování zatížení se musejí sejít v jednom výsledku, nikoli ve dvou nezávislých popisech.
Protokol zachycuje podmínku zkoušky, kritérium, výsledek a konfiguraci stroje. U měření času také metodu a podmínky. Další osoba musí poznat, jaké zatížení bylo zkoušeno a které chování bylo přijato jako správné.
Podpis pod větou „funkce pracuje“ zabere méně místa. Dalšímu projektantovi však nechá mnohem více práce.
Program je opravený. Protokol si stále pamatuje minulou verzi
Specialista na automatizaci změnil podmínku povolení pohybu, ale plán zkoušky stále kontroluje starou variantu. Obě strany mohou dokumenty uzavřít, přestože popisují různé konfigurace. Požadavek, návrh a důkazy proto musejí patřit ke stejné hodnocené verzi.
Změnu sledujeme od SRS až k příslušným výsledkům a určujeme její dopad na ostatní funkce. Úprava u upínacího mechanismu z posouzení nezmizí jen proto, že už byla zapsána do programu.
Norma doporučuje nezávislost osob provádějících validaci na návrhu SRP/CS. Člověk mimo projekt snáze zpochybní předpoklad, který autor přestal vnímat. Potřebné jsou kompetence, odpovídající proces a zdokumentované výsledky v rozsahu posouzení.
Neznamená to obecnou povinnost externě certifikovat každou funkci. O tom, co bylo prokázáno, rozhoduje skutečně provedená práce a její rozsah.
O několik měsíců později přijede větší obrobek
Větší obrobek se vejde na stůl. Upínací přípravek se také zavře. Ve výrobní hale tedy zazní známé: „Stroj to přece zvládne.“ Než to ověříme pohybem, vracíme se k mezím stroje.
Článek 5.3 ISO 12100 zahrnuje meze používání, prostoru, času a další omezení. U našeho pracoviště kontrolujeme předpokládané obrobky a nástroje, zatížení, způsob upnutí a prostor potřebný pro obsluhu. Samotný rozměr stolu přípustné použití nepopisuje.
Jestliže nový úkol leží v posouzeném rozsahu, může jít o předpokládanou změnu seřízení. Potvrzujeme, že pro tuto konfiguraci zůstávají splněny podmínky ochrany. Větší obrobek nemusí znamenat přestavbu stroje.
Předpokládejme však, že obsluha musí přistupovat z druhé strany, která není viditelná z místa resetu. Nebo nový nástroj prodlouží dobu zastavení nad hodnotu použitou při návrhu ochrany. Změnil se předpoklad, na němž byla účinnost ochrany založena.
V rozváděči nebyl vyměněn jediný modul. Seznam komponent proto působí uklidňujícím dojmem. Jenže nezaznamenává, odkud obsluha vkládá ruku.
Vracíme se k mezím, posouzení rizika a požadavkům v SRS. Určujeme dopad změny na návrh a dosavadní výsledky. Nový úkol povolíme až po zavedení potřebné ochrany a provedení kontrol a validace.
Samotné dopsání většího obrobku do dokumentace rozšíření použití nezdůvodní.
Totéž platí pro podmínky zachování ochrany. Pokud závisí na kontrole, seřízení, výměně prvku nebo stanovené době používání, musí se informace dostat k osobám provádějícím tyto činnosti. Časová omezení nekončí uvedením stroje do provozu.
Pro servis umožňuje SRS propojená s posouzením rizika a projektovou dokumentací původní rozhodnutí obnovit. Bez záznamu zbývá telefonát člověku, který před lety napsal program, a naděje, že si pamatuje podmínky tehdejší práce.
Přestavba potřebná pro nové použití může být také podstatnou změnou. Samotný větší obrobek ani překročení dosavadních mezí o tom ještě nerozhodují. Rozhodující jsou právní kritéria vztahující se k provedené změně.
Nařízení (EU) 2023/1230 je stanoví v čl. 3 bodě 16 a povinnosti osoby provádějící podstatnou změnu v článku 18. Tato ustanovení se použijí od 20. ledna 2027. Aktualizace SRS je pouze jednou částí práce, kterou taková změna může vyvolat.
Při přejímce kontrolujeme to, co jsme slíbili v SRS. Prověřujeme pohyby, energie, přístupy a rozhraní používaná člověkem. Změna úkolu nebo podmínek vyžaduje posoudit, zda dosavadní ochrana a její zdůvodnění zůstávají platné.
Než objednáte další sestavu
Vraťme se k obsluze s obrobkem. Průchod jedinou činností odhalil mezeru, která nebyla v katalogu zařízení ani ve zprávě o PL. Bylo nutné dohodnout upínací přípravek, přístup, pohyby a chování při ztrátě energie.
Z těchto rozhodnutí vzniklo projektové zadání. Teprve nyní lze vybrat řízení a ověřit, zda realizuje potřebnou ochranu. Certifikáty a výpočty lze konečně vztáhnout ke konkrétním požadavkům.
U dalšího stroje projděte tuto cestu s člověkem, který zná práci na pracovišti. Najděte úkol a jeho nebezpečí v posouzení rizika, požadavky v SRS a potom odpovědi v návrhu a výsledcích kontrol. Okamžitě uvidíte, kde se přerušilo zdůvodnění.
Až u hotového rozváděče znovu zazní otázka, zda je bezpečnost vyřešená, ukažte, jak má obsluha upnout obrobek a co ji při tom chrání. Diskusi omezenou jen na komponenty to obvykle ukončí velmi rychle.
Zdroje a rozsah citovaných příkladů
Základem jsou uvedená vydání a články norem. Příklady vysvětlují způsob formulování požadavků; u každého navrhovaného stroje je nutné ověřit příslušný rozsah použití.
- ISO 13849-1:2023 , Bezpečnost strojních zařízení — Bezpečnostní části ovládacích systémů — Část 1: Obecné zásady pro konstrukci: 4.1–4.6, 5.1–5.4, včetně 5.2.1.3 a 5.2.2–5.2.3, kapitoly 6–10 a 12–13.
- ISO 12100:2010, Bezpečnost strojních zařízení — Všeobecné zásady pro konstrukci — Posouzení rizika a snižování rizika: kapitoly 4–6, zejména 5.3–5.4.
- ISO 16090-1:2022 , Bezpečnost obráběcích strojů — Obráběcí centra, frézky a postupové stroje — Část 1: Bezpečnostní požadavky: 5.2.5.5, upínání obrobku.
- EN 16500:2014 , Stroje pro zhutňování odpadních materiálů nebo recyklovatelných složek — Vertikální balíkovací lisy — Bezpečnostní požadavky: 5.1.4 a 5.2.2. Rozsah zahrnuje vymezené uzavřené vertikální balíkovací lisy s ručním vázáním. Citované požadavky tohoto vydání odkazují na EN ISO 13849-1:2008.
- ISO 11161:2007 s Amd 1:2010, Bezpečnost strojních zařízení — Integrované výrobní systémy — Základní požadavky: 7.1–7.2, 8.1.4 a 8.8–8.10. Příklad se týká úkolů, rozhraní a rozsahu ochrany v integrovaném výrobním systému.
- ISO 13855:2024, Bezpečnost strojních zařízení — Umístění ochranných zařízení s ohledem na přiblížení lidského těla: přílohy B a D, údaje a podmínky posuzování zastavení.
- Nařízení Evropského parlamentu a Rady (EU) 2023/1230 o strojních zařízeních : čl. 3 bod 16 — definice podstatné změny; čl. 18 — povinnosti osoby provádějící podstatnou změnu; čl. 54 — data použitelnosti ustanovení.