„Ohu korral vajutab operaator seennuppu.” Nii võib proovida kaitsemeetmete arutelu kiiresti lõpetada. Nupp on olemas, ahel töötab ja katse ajal jäi masin seisma. Edasi tuleb vaid eeldada, et inimene märkab ohtu, jõuab reageerida ning teeb ise ära selle, mida masina konstruktsioon ja töökoha kaitse ei taganud.
Projekteerija ei saa operaatori reaktsioonikiirust puuduvate kaitsemeetmete arvele kirjutada. Ennetav ohutusfunktsioon peab vältima kindlat ohtlikku sündmust. Hädaseiskamisfunktsioon peab võimaldama sekkuda juba tekkinud või kohe tekkivasse hädaolukorda, pidurdama selle arengut ja vähendama kahju. See võib aidata vigastust vältida, kuid ei muutu seetõttu kaitse asendajaks.
See on vahe kaitse tagamise ja eduka sekkumise lootuse vahel. Riskihindamisel ei tohi seda erinevust peita üldise märkuse „kasutatud on ohutusahelat” taha. ISO 13850 käsitleb hädaseiskamist täiendava kaitsemeetmena. Mitte sellepärast, et see oleks vähetähtis, vaid sellepärast, et see täiendab muid kaitsemeetmeid ega õigusta nende puudumist.
Teine väärarusaam algab tavaliselt kindlast lausest: „Nupu vajutamisel lülitame kõik välja.” Kõlab otsustavalt. Paraku ei ole seisatud masin tingimata ohutu masin. Inimene võib jääda kinni ning teda kaitsnud seadme väljalülitamine võib olukorda veel halvendada. Liikumatus üksi ei näita, kas oht on kontrolli alla saadud.
Seetõttu ei saa hädaseiskamisfunktsiooni taandada võimalikult paljude seadmete väljalülitamisele. Tuleb määrata, millised ohtlikud tegevused peavad lõppema, millises järjekorras see peab toimuma ja mis peab inimese kaitsmiseks edasi töötama. Mõnes rakenduses on lisaks seiskamisele vaja täiendavaid kaitsetoiminguid.
Operaator peab saama reaktsiooni käivitada ühe toiminguga. Ta ei tohiks enne nupu vajutamist arutada, kas väljalülitamise tagajärg osutub praegusest ohust hullemaks. See tuleb lahendada projekteerimisel. Mida lihtsam peab olema inimese sekkumine, seda vähem võib masina reaktsioon sisaldada läbimõtlemata tagajärgi.
Kui vastuvõtukatse piirdus kontrolliga, kas ajam jäi seisma, kinnitati ainult seiskumine. Vastuseta jäi tähtsaim küsimus: kas hädaolukorras toimus õige kaitsetoiming? Märge „E-STOP töötab” ei selgita, mida ennetav kaitse väldib ega mis saab inimesest pärast nupu kasutamist. Masina seiskamise võimalus ei tõenda, et kaitse on piisav. Liikumise lõpp ei tähenda alati ohu lõppu.
Seennupp ei paranda puuduvat kaitset. See annab inimesele võimaluse sekkuda olukorda, mida muud meetmed ei suutnud või ei pidanud täielikult vältima.
1. Ennetamine ja hädareaktsioon ei ole sama asja kaks varianti
„Valguskardin seiskab masina. Seennupp samuti. Milleks asja keeruliseks ajada?” Kui kaitse tõhusust määraks ainult see, kas mootor lõpuks peatub, oleks küsimus täiesti mõistlik. Võiks võrrelda skeeme, leida sama kontaktori ja otsustada, et erinevus seisneb peamiselt hinnas.
Arvestamata jääb ainult see, millal masin seiskub ja mis võib inimesega selle ajani juhtuda. Ennetav ohutusfunktsioon peab vältima kindlat ohtlikku sündmust. Hädaseiskamisfunktsioon peab pöörama tagasi või piirama juba olemasolevat või lähenevat hädaolukorda. Mõlemal juhul võib olla vaja liikumine peatada, kuid lahendatav probleem ei ole sama.
Valguskardin ei ole selleks, et teatada juba tööriistani jõudnud inimesest
Võtame töökoha, kus inimene võib ulatuda liikuva tööriistani. Oletame, et juurdepääsu saab kaitsta valguskardinaga: ohtliku liikumise saab tsükli ajal peatada ning tööriistani ei pääse tuvastusvälja vältides.
Valguskardin tuvastab käe ja algatab seiskamise. Selle kaugus tööriistast arvestab kogu süsteemi reaktsiooniaega ja masina järeljooksu. Ohtlik liikumine peab lõppema enne, kui inimene jõuab selleni. See on funktsiooni ülesanne. Mitte lihtsalt väljundite ümberlülitamine ega teade „ohutusseiskamine” juhtpaneelil.
Kui käsi jõuab liikuva tööriistani enne masina peatumist, ei ole selle kokkupuute eest kaitset tagatud. Valguskardin võib töötada õigesti, juhtsüsteem võib signaali vastu võtta ja ajam käsu täita. Kõik seadmed võivad käituda projekti järgi. Vigane võib olla projekt ise.
Seetõttu ei kontrollita valguskardinat ainult kiirte katkestamisega. Tuleb tõendada, et tuvastamine ja seiskamine väldivad tegelikult sündmust, mille eest need pidid kaitsma.
Hädaseiskamisel peab sekkumise algatama inimene
Hädaseiskamisseadis ei võta üle juurdepääsu tuvastamise ülesannet. See peab võimaldama inimesel käivitada ettenähtud reaktsiooni olukorras, mis nõuab viivitamatut sekkumist. Vigastus ei pea olema juba tekkinud. ISO 13850 käsitleb ka lähenevat hädaolukorda.
Keegi võib märgata sündmuste ohtlikku arengut ja vajutada nuppu enne kahju tekkimist. Samuti võib sekkumist vaja minna siis, kui ohtlik mõju juba kestab. Esimeses näites käivitab kaitse käe tuvastamine. Teises peab inimene sekkumise vajaduse ära tundma ja reaktsiooni algatama. Neid olukordi ei saa võrdsustada väitega „mõlemad seiskavad”.
Kui eemaldada meie näitest valguskardin ja jätta alles nupp, ei taga miski enam käe tuvastamisele järgnevat automaatset seiskamist. Probleemi märkamine ja reaktsiooni käivitamine jääb inimesele. Projektist eemaldati tuvastamine. Põhjendusse lisati, et operaator on koolitatud. Sääst on päris, kaitse samaväärsus väljamõeldud.
Just seepärast nimetab ISO 13850 hädaseiskamist täiendavaks kaitsemeetmeks ja keelab selle kasutamise tehniliste kaitsemeetmete ning muude vajalike funktsioonide asendajana. Hädaseiskamine on ohutusega seotud funktsioon, kuid see ei tähenda, et sellele võib omistada suvalise kaitseülesande.
Sama relee ei kaota funktsioonide erinevust
Funktsioonid võivad jagada juhtimissüsteemi elemente, kui asjakohased nõuded on täidetud. Aparatuuri pole vaja paljundada lihtsalt paljundamise pärast. Eraldi tuleb aga määrata, mis käivitab iga funktsiooni ja millist eesmärki selle toime täidab.
Valguskardina puhul kontrollitakse kaitset ohtliku kokkupuute eest. Hädaseiskamise puhul kontrollitakse õiget reaktsiooni vaadeldavale hädaolukorrale, mis ei piirdu alati liikumatusega. Hädaseiskamisnupu vajutamise katse ei tõenda, et inimene ei jõua liikuva tööriistani. Õigesti rakendatud valguskardin ei vasta omakorda kõigile hädasekkumist puudutavatele küsimustele.
Ühise kontaktori kasutamist saab põhjendada. Ühist märget „vastab nõuetele” ei saa kahe erineva ülesande jaoks lihtsalt kopeerida.
Kaks funktsiooni võivad lõpetada sama liikumise. See ei tähenda, et need kaitsevad sama sündmuse eest või käivituvad samal hetkel.
2. „Operaator jõuab” ei ole masina kaitse
Oletame, et käsitsi etteandmise töökohal jäeti kettajam ligipääsetavaks. Kaasahaaramise võimalus tuvastati. Riskihindamisse kirjutati kaitsemeetmetena hädaseiskamisnupp, märgistus ja operaatori koolitus. Pärast nende arvestamist kuulutati risk vastuvõetavaks.
Kett on endiselt ligipääsetav. Töötaja teeb selle kõrval samu toiminguid. Muutus ainult tabelilahtri värv. Kaitsekatte jaoks polnud eelarvet. Operaatori refleks lisati tasuta.
Mis riski tegelikult vähendas?
Nupu paigaldamine ei piiranud juurdepääsu ajamile. See ei vähendanud läheduses töötamise sagedust ega võtnud mehhanismilt kaasahaaramise võimet. Loodi võimalus algatada hädaseiskamine. Nüüd tuleb tõendada, millistes olukordades võib sellest sekkumisest abi olla.
Kes ohtu märkab? Mille järgi ta selle ära tunneb? Kas ta ulatub hädaseiskamisseadmeni? Kas olukorra tuvastamise ja kahju tekkimise vahele jääb tõhusaks tegutsemiseks piisavalt aega? Vastus „operaator on koolitatud” lahendab ainult osa küsimustest. See kinnitab ettevalmistust kindlateks toiminguteks, kuid ei tõenda füüsilist võimalust neid vaadeldavas olukorras teha.
Koolituslehe allkiri ei lühenda masina järeljooksu ega pikenda kaasahaaramiseni jäänud aega. Hädaseiskamine võib parandada kahju vältimise või piiramise võimalust ning pole seega riskihindamisel väärtusetu. Kasu tuleb siiski siduda konkreetse sündmuste käiguga, mitte anda automaatselt punase nupu olemasolu eest.
Kui tõhusat sekkumisvõimalust pole tõendatud, ei saa märkega „E-STOP ja koolitus” põhjendada piisavat kaitset kaasahaaramise eest. Ka kaitsemeetmed ise tuleb valida ja hinnata selle järgi, mida need päriselt muudavad.
Mõõdeti aega vajutamisest, mitte ohu algusest
Katse ajal seisab kontrollija seadme juures, teab ette, mida ta teeb, ja algatab seiskamise. Mõõtmine näitab aega hädaseiskamisseadme rakendamisest ohtliku liikumise lõppemiseni. See on vajalik tulemus, kuid ei hõlma kõike, mis peab pärisolukorras enne juhtuma: ohu märkamist, sekkumisvajaduse tuvastamist ja toimingu tegemist.
Juhtsüsteemi reaktsiooniaeg määrati. Operaatori kohta eeldati, et küll ta jõuab. Töötaja mõlemad käed võivad olla detaili etteandmisega hõivatud. Ta võib asuda nupust liiga kaugel või vajada abi just seepärast, et ei saa enam ise reaktsiooni käivitada.
Eeldus, et seda teeb kõrval seisev inimene, vajab samuti kontrollimist. Teine inimene peab olema kohal, olukorda nägema ja tegutseda saama. Ta ei ilmu töökoha kõrvale sellest, et riskihindamisse kirjutati „kaastöötaja abi”.
Seadme ligipääsetavust kontrollitakse nende kohtade ja toimingute suhtes, kus sekkumist võib vaja minna. Mitte ainult vastuvõtukatse ajal mugavalt juhtpuldi ees seisva inimese asendist. Töökorras ahel ei pruugi käsku õigel ajal saada. See pole relee rike, mille diagnostika avastaks, vaid kontrollimata eeldus inimese osalemise kohta.
Juhtsüsteemi reaktsiooniaja lühendamine ei paranda olukorda, kui põhiprobleem tekib enne nupu vajutamist.
„Olge eriti ettevaatlik.” Soovitavalt kogu vahetuse
Töökoha juhendis seisab: „Operaator peab olema eriti ettevaatlik, jälgima pidevalt masina tööd ja ohu korral kasutama kohe hädaseiskamist.” See lause sobib peaaegu iga masina juurde. Just seetõttu selgitab see nii vähe.
Oletame, et operaator peab valmistooted vastu võtma, kontrollima nende kvaliteeti ja asetama need töökoha taga olevasse mahutisse. Samal ajal nõuab juhend „ohuala katkematut jälgimist”. Toote ärapanekuks peab inimene ümber pöörama. Ta ei eira juhendit, ei räägi telefoniga ega leiuta oma töömeetodit. Ta teeb projekteerija ettenähtud toimingut. Sama projekteerija sidus ohutuse vastassuunas vaatamisega.
Töö kavandati ühele inimesele. Nõutud tähelepanu ilmselt kahele. Käsk „seiska viivitamata” ei lahenda seda vastuolu. Kõigepealt peab keegi märkama, et seiskamine on vajalik.
Kui kaitsekontseptsioon põhineb pideval vaatlusel, kuid ettenähtud ülesanded katkestavad selle vaatluse, on lähte-eeldused omavahel vastuolus. Sõna „eriti” lisamine ettevaatlikkuse ette ei kõrvalda vastuolu. See suurendab ainult nõudmisi operaatorile, muutmata tingimusi, milles ta neid täitma peab.
Hoiatusi ei pea kasutusjuhendist välja viskama. Hoiatusega ei tohi aga asendada tööd, mis jäi kaitse projekteerimisel tegemata. Kasutajale antav teave on riski vähendamisel vajalik, kuid ei asenda olemuslikult ohutut konstruktsiooni ega nõuetekohaseid kaitsemeetmeid. Ka hädaseiskamisfunktsioon täiendab kaitset, mitte ei anna selle ülesannet inimese valvsusele üle.
Kirjeldatud töökohal tuleb kaitset kontrollida ka siis, kui operaator täidab õigesti ülesannet, mis pöörab tema tähelepanu masinalt eemale. Pärast sündmust pole aus küsida, miks ta just sel hetkel ei vaadanud. „Ole ettevaatlik, operaator” võib olla hoiatus. See ei ole lause kujul tarnitud tehniline kaitse.
Inimese tähelepanu ei ole andur, koolitusleht ei ole kaitsepiire ja hea refleks ei ole projekteerimisparameeter.
3. Seisatud masin võib inimest endiselt ohustada
Funktsiooni kirjeldusse kirjutati: „Hädaseiskamise rakendumisel ajamid peatuvad ja masin läheb ohutusse olekusse.” Esimest osa saab kontrollida: ajamid ei tekita enam ohtlikku liikumist. Teine osa nõuab vastust, mis peale liikumise inimest ohustab ja mis sellest ohust pärast seiskamist sai.
Sõnade „ohutu olek” lisamine pärast sõna „seiskumine” on lihtne. Masina konstruktsioonis ei teki see seos komast. Liikumise lõpp võib hädaolukorra arengu peatada, kuid jätta inimese surve alla, mehhanismi vahele või ilma väljapääsuta. Masin ei pea tegema järgmist tsüklit, et jätkuvalt kahju tekitada.
Kiirus langes nulli. Survejõud ei pruukinud
Vaatleme valtside süsteemi, kus ühe valtsi surve tekitavad vedrud. Jäse haaratakse vahele, E-STOP rakendatakse ja pöörlemine peatub. Edasine sissetõmbamine lõpeb, kuid valtsid jäävad kokku surutuks. Ajam täitis käsu. Vedrud töötavad samuti täpselt projekti järgi. Inimest surutakse endiselt.
See ei tähenda, et seiskamine oli tarbetu või ei katkestanud sissetõmbamist. See tähendab, et seiskamine ei lahendanud kogu olukorda. Ohtliku liikumise katkestamine ja inimese vabastamine on kaks erinevat ülesannet, mis tuleb omavahel kooskõlastada.
Kui analüüsis käsitleti kaasahaaramist, tuleb kindlaks määrata ka vabastamisviis. Konstruktsioonist sõltuvalt võib olla vaja elemente lahutada, surve vabastada või kasutada nõuetekohaselt projekteeritud vastassuunalist liikumist. Ükski neist ei sobi automaatselt igale masinale. Probleemi ei saa lugeda lahendatuks ainult seepärast, et see pärast seiskamist enam ei liigu.
ISO 13850 ei taanda hädareaktsiooni liikumatusele
ISO 13850 võimaldab hädaseiskamisfunktsioonil algatada peale seiskamise ka muid funktsioone, sealhulgas liikumise ümberpööramist või piiramist. Eesmärk on vähendada kahju tekkimise võimalust, mitte saavutada võimalikult suurt hulka väljalülitatud väljundeid.
Seiskuma peavad ohtlikud liikumised ja tegevused. Sellest ei tulene, et iga hädareaktsiooni ajal toimuv liikumine oleks lubamatu. Õigesti projekteeritud liikumine võib kaitsta inimest. Sõna „õigesti” ei ole siin kaunistus.
Vastassuunalise liikumise kavandamisel tuleb hinnata, kas see aitab konkreetse kinnijäämise korral. Kas see võib vigastust süvendada? Kas tekib uus kaasahaaramiskoht? Mis juhtub samal ajal survega? Milline liikumisulatus, kiirus ja juhtimisviis on vajalik? Etteantud kiiruse märgi muutmine ei ole veel päästefunktsiooni projekt, isegi kui programmis kulub selleks üks rida.
ISO 13850 nimetab selliste toimingute võimalust, kuid ei sätesta nende teostamise üksikasjalikke nõudeid. Viide standardile ei tõenda, et suvaline vastassuunaline liikumine või mehhanismi avamine on ohutu. Hinnata tuleb konkreetset lahendust.
Seiskamine ei tohi võtta ära vabastamise võimalust
Eristada tuleb E-STOP-reaktsiooni osaks olevat lisatoimingut ja eraldi funktsiooni, millega inimene pärast seiskamist vabastatakse. Esimesel juhul kuulub toiming kavandatud hädareaktsiooni sisse. Teisel juhul ei vabasta seiskamine inimest täielikult, kuid jätab võimaluse teha seda sobivate vahenditega.
Iga masin ei pea nupu vajutamisel elemente automaatselt lahutama ega vastassuunas liikuma. ISO 13850 nõuab aga, et hädaseiskamine ei halvendaks teiste kaitsefunktsioonide tööd. Standard nimetab otseselt ka kinnijäänud inimeste vabastamist.
See on oluline, kui selgituseks öeldakse: „Vabastada saab küll, aga enne tuleb tavapärane töö taastada.” Vabastamisfunktsioon peab võimaldama inimest päästa, mitte tegema uuesti kättesaadavaks kõiki tootmisliikumisi lootuses, et keegi kasutab neist ainult õiget.
Funktsiooni käivitamise tingimused, lubatud liikumised ja nende piiramine tuleb määrata projektis, mitte hetkel, mil keegi päriselt abi vajab. Pärast seiskamist peab vastama mitte ainult küsimusele „mis seisab?”, vaid ka küsimustele „milline ohtlik mõju jätkub?” ja „kuidas see kontrolli alla saadakse?”. Ohutu olek ei teki sellest, et juhtprogrammi muutujale selline nimi antakse.
Nullkiirus võib tähendada, et liikumine lõppes. See ei tõenda, et surve, raskusjõud, kuumus või kinnijäämine kadus koos sellega.
4. Miks kõige väljalülitamine võib olukorda halvendada
„Seennupu vajutamisel lülitame kõik väljundid välja.” Kirjeldus on lihtne. Programm samuti. Vastuvõtul on mugav kontrollida, kas kõik kustus. Ühe väljundi taga võib aga olla ohtu tekitav ajam ja teise taga seade, mis kaitseb samal ajal mõne muu ohu eest. Mõlema väljalülitamine ei anna tingimata topeltohutust.
ISO 13850 nõuab hädaseiskamisfunktsiooni ülimuslikkust, kuid keelab samal ajal teiste kaitsefunktsioonide tõhususe halvendamise. Vajalik võib olla abiseadmete, näiteks elektromagnetiliste haaratsite või pidurdusseadmete töö säilitamine. See pole standardi vastuolu. See on põhjus enne ühise toitekatkestuse kavandamist kontrollida, kes seda toidet kasutab.
Ajam tuleb peatada. Koormat ei tohi selle käigus maha pillata
Oletame, et seade liigutab terasdetaili pidevat elektritoidet vajava elektromagnetilise haaratsiga. Koorma hoidmine sõltub haaratsi tööst ning eraldi kaitset selle vabanemise vastu pole. Projekteerija ühendab liikumisajamid ja haaratsi toite sama katkestuse alla.
E-STOP-i rakendamisel lülituvad ajamid välja. Haarats kaotab koorma hoidmise võime. Käsk täideti veatult, sealhulgas koorma toestuse eemaldamine. Probleem pole rikkis nupus ega kinni jäänud kontaktoris. Aparatuur tegi täpselt seda, mida projekteeriti.
Viga seisneb eelduses, et kõiki tarbijaid võib käsitleda ühtemoodi, sest kõik kasutavad elektrit. Tegelik ülesanne on peatada ohtlik liikumine ja säilitada koorma ohutu hoidmine. Teostus tuleb valida ning kontrollida konkreetse konstruktsiooni järgi. Sellest ei tulene universaalset nõuet jätta mingi kindel ahel pinge alla. Sellest tuleneb kohustus säilitada koorma hoidmise tõhusus.
„Aga pärast E-STOP-i ei tohiks energiat olla.” Raskusjõud pole ühendatud meie kontaktori kaudu. See ei lülitu koos kontaktoriga välja.
Ka tulekustutussüsteemi saab eeskujulikult välja lülitada
Teine näide: masinal on tulekustutussüsteem, mille käivitamine vajab elektritoidet. Oletame, et kustutuse juhtimine ja kustutusaine väljastamist käivitav element saavad toite ahelast, mille E-STOP katkestab.
Materjal süttib. Operaator rakendab hädaseiskamise. Ajamid peatuvad, kuid põlev materjal on endiselt ohtlik. Kustutussüsteem ei saa oma ülesannet täita, sest selle toide just katkestati. Süsteem ise on täiesti töökorras. Tuleb ainult tagada, et hädaolukorras keegi enne hädaseiskamist ei kasutaks. Sellist tingimust ei tohi projektis olla.
ISO 13850 nimetab tulekahju kustutamist sõnaselgelt kaitsefunktsioonina, mida hädaseiskamine ei tohi kahjustada. See ei tähenda, et tulekahju ajal peab kogu protsess muutumatult jätkuma. Määrata tuleb õige reaktsioon: millised tegevused katkestada, millised ohuallikad eraldada ja kuidas säilitada tulekaitse tõhusus. „Lülita kõik välja” ei lahenda neid küsimusi. See sõidab neist ühe käsuga üle.
Seiskamiskategooria 0 ei tähenda „kogu masin pingevabaks”
ISO 13850 näeb ette hädaseiskamise seiskamiskategooria 0 või 1, mis valitakse riskihindamise alusel. Kategooria 0 korral katkestatakse ajamielementide toide viivitamata. See ei tähenda liikumise viivitamatut lõppemist: vaja võib olla täiendavat pidurdamist.
Kategooria 1 korral jääb ajamielementide toide seiskumise ajaks kättesaadavaks ning energiavarustus katkestatakse pärast seiskumise saavutamist. Kategooria kirjeldab seiskamisviisi. See ei ole käsk lülitada välja kõik seadmed, mis juhtusid samale skeemile sattuma.
Kategooria valimine ei vabasta haaratsi, piduri ega tulekustutussüsteemi kontrollimisest. Ka kontaktori rakendumisaeg ei näita üksi, kas ohtlik liikumine lõppes õigesti ja kas seiskamine ei tekitanud uut ohtu.
Ohtlikke tegevusi ei tohi „kaitse säilitamise” ettekäändel tööle jätta. Eristada tuleb kaks ülesannet: katkestada see, mis ohustab, ja mitte muuta kasutuks seda, mis peab edasi kaitsma. Kõik lülitati välja. Nii hoolikalt, et välja lülitati ka inimese kaitse. Märge „standardile vastav hädaseiskamine” seda ei paranda.
Elektri katkestamine võib eemaldada ühe ohu ja vabastada teise. Skeem muutub vaikseks, kuid füüsika jätkab tööd.
5. Operaator ei tohiks arvata, kas pärast vajutamist läheb hullemaks
„Operaator teab, mida millises järjekorras välja lülitada.” See võib kirjeldada liini ettevalmistamist kavandatud seisakuks. Hädaseiskamise selgitusena tähendab see, et osa juhtsüsteemi ülesandest anti inimese mälule.
Ta peab ohu ära tundma, meenutama seadmete sõltuvusi ja tegema õige toimingute jada. Soovitavalt eksimata, sest järjekord olevat ohutuse jaoks oluline. Kogu tootmistsükkel automatiseeriti. Ohutul seiskamisel otsustati usaldada käsitööd.
ISO 13850 nõuab, et hädaseiskamisseadme kasutamise otsus ei eeldaks selle tagajärgede kaalumist. Inimene peab ära tundma sekkumisvajaduse, mitte lisaks hindama, kas nupu vajutamine teeb olukorra hullemaks.
Üks inimese toiming ei tähenda masina ühtainsat toimingut
Hädaseiskamisfunktsioon käivitatakse ühe toiminguga. Seejärel peavad ohtlikud liikumised ja tegevused lõppema õigel viisil ilma edasise sekkumiseta. ISO 13850 lubab selleks ette määratud järjestust. Üks nupuvajutus võib seega käivitada mitu koordineeritud toimingut.
See ei tähenda kohustust kõike korraga välja lülitada ega luba jätta ülejäänud seiskamist operaatori teha. Kui ohutus nõuab kindlat järjekorda, tuleb see projekteerimisel määrata. Samuti tuleb määrata, millised tegevused lõpevad, mis jääb toimima ja milline seisund saavutatakse.
Märge „järjestikune seiskamine” ei vasta veel neile küsimustele. Samas pole vaja automatiseerida iga hilisemat päästetoimingut. Nõue seiskuda ilma täiendava sekkumiseta puudutab masina ohtlikke tegevusi. Eraldi vabastamisvahend võib vajada teadlikku juhtimist. Üks asi on kasutada vabastamisfunktsiooni. Hoopis teine asi on alles teise nupuga peatada liikumine, mis inimest endiselt ohustab.
Iga tarnija peatas oma seadme. Etteanne jätkub
Vaatleme pikkade profiilide töötlemisliini. Töötlemismasinal ja etteandjal on eraldi juhtimine. Masina juures olev hädaseiskamisseadis peatab tööriista, kuid mitte etteandjat, mis jätkab profiili tööalasse lükkamist. Vaadeldavas olukorras võib jätkuv etteanne inimese muljuda.
Tööriist juba seisab. Materjal liigub edasi. Tarnija selgitab: „Etteandjal on oma seennupp.” On küll. Inimene kasutas aga ohukoha juures olevat seadet ega saanud vajalikku reaktsiooni.
Tarnepiirid on selged. Jääb vaid tagada, et hädaolukord neid piire austaks. Sellises süsteemis tuleb hinnata seadmete koostoimet. Kui etteande jätkumine hoiab ohtu üleval, peab hädareaktsioon hõlmama ka etteandjat. Kontroll, et iga masin reageerib eraldi oma nupule, ei tõenda kogu liini reaktsiooni tõhusust.
Sellest ei järeldu, et iga nupp peab peatama kogu tehase. Mõjuala ei määrata lihtsalt elektrikapi piiri või programmi kirjutanud ettevõtte järgi.
„Milline seennupp?” tuleb lahendada enne hädaolukorda
ISO 13850 lähtekoht on kogu masina hõlmamine hädaseiskamisseadme toimega. Standard lubab siiski jagada masina mõjualadeks, näiteks juhul, kui kõigi ühendatud masinate seiskamine tekitaks lisaohu või mõjutaks tootmist tarbetult.
Selline jaotus eeldab masinate paigutuse analüüsi, ohu tuvastamise võimaluse, protsessi tagajärgede ja seotud ohtude hindamist. Mõjualad võivad kattuda. Ühes alas käivitatud seiskamine ei tohi suurendada riski teises ega takistada seal hädaseiskamise algatamist.
Tarbetu seisaku vältimine on lubatud. Ohtliku etteande töölejätmine ei muutu seetõttu tootmise optimeerimiseks. Inimene peab suutma seostada hädaseiskamisseadme ohuga ja mõista selle mõjuala.
Standard osutab asukoha ja piktogrammide kasutamise võimalusele ning soovitab vältida lahendust, mille mõistmiseks tuleb lugeda juhendit või jaotus varem pähe õppida. Tähis „S14” aitab nupu elektriskeemilt üles leida. Masina juures seisvale inimesele ei ütle see veel, millised seadmed peatuvad.
Elektridokumentatsiooni võib lugeda laua taga. Hädaolukorras võiks see osa projekteerimisest juba tehtud olla. Mida lihtsam peab olema inimese toiming, seda täpsemalt tuleb masina reaktsioon varem kindlaks määrata. Lihtne kasutajaliides ei vabasta analüüsist. See peab olema analüüsi tulemus.
Hädaolukorras ei kutsuta kokku konstruktori, automaatiku ja tehnoloogi koosolekut. Need kokkulepped peavad projektis juba olemas olema.
Üks vajutus võib käivitada terve koordineeritud jada. Operaator ei pea seda jada hädaolukorras ise leiutama.
6. Märge „E-STOP töötab” ei asenda kaitse hindamist
„Kõiki nuppe kontrolliti. Tulemus positiivne.” Protokollis on seadmete tähised, kuupäevad ja allkirjad. Pärast iga vajutust jäi masin seisma. Puudu on ainult selgitus, mida peale liikumise lõppemise peeti õigeks reaktsiooniks.
Nuppu kontrolliti skeemitähise järgi. Funktsioonile endale jäid nõuded seadmata.
Kõigepealt kriteerium, seejärel positiivne tulemus
Enne katset peab olema teada, milline tulemus saavutatakse. Millised tegevused peavad lõppema, millise aja jooksul, millises alas ja millistel tingimustel? Mis peab edasi toimima? Milline käitumine tähendab nõuete mittetäitmist?
Ilma kriteeriumita on lihtne lugeda õigeks täpselt see, mida parasjagu nähti. Ajam peatus mõne sekundi pärast? Järelikult pidigi nii peatuma. Naabersektsioon töötab edasi? Küllap ei kuulu see mõjualasse. Dokumentatsioon ei otsustanud midagi, seega pole tulemusel millegagi vastuollu minna.
Kui kriteerium kirjutatakse pärast katset, saab projekteerida masina, mis läbib alati kontrolli. Piisab, kui mitte nõuda rohkemat, kui masin just tegi. Praktiliselt saab vajalikud otsused korrastada järgmiselt.
| Valdkond | Mida tuleb määrata? | Mida dokumentatsioonis kirjeldada või näidata? |
|---|---|---|
| Hädaolukord | Millise olemasoleva või läheneva olukorra korral on sekkumist vaja? Kes saab selle algatada? | Stsenaarium, inimese toimingud, masina seisund ja ligipääsetava hädaseiskamisseadme asukoht. |
| Oodatav kaitsetulemus | Mida peab funktsiooni käivitamine muutma? Milline ohtlik mõju katkestatakse või piiratakse? | Nõutav seisund ja selle saavutamise tingimused; vajaduse korral lisatoimingud ja vabastamisvahendid. |
| Masina reaktsioon | Mis peatatakse, millises järjekorras, millise aja jooksul ja millises alas? | Funktsiooni kirjeldus, seiskamiskategooria, järjestus, ajapiirid ja seosed teiste seadmetega. |
| Säiliv kaitse | Mis peab edasi toimima? Kas reaktsioon tekitab lisaohu või halvendab olukorda mujal? | Säilitatavate funktsioonide nõuded, lahenduse põhjendus ja koostoime kontrollimise tulemus. |
| Kinnitus | Millega tõendati teostuse vastavust nõuetele? | Analüüside, katsete ja mõõtmiste tulemused, katsetingimused, konfiguratsiooni tunnus ning lahknevuste lahendus. |
See tabel on kontrolli korraldamise ettepanek, mitte ISO 13850 vorm ega täielik valideerimisplaan. Analüüside ja katsete ulatus tuleb valida konkreetse funktsiooni, masina ning hindamismeetodi järgi.
PL ja SIL ei täida funktsiooni puuduvat kirjeldust
ISO 13850 nõuab, et hädaseiskamist rakendavad ohutusega seotud juhtimissüsteemi osad vastaksid standardi ISO 13849-1 ja/või IEC 62061 asjakohastele nõuetele. Standard sätestab ka miinimumi: PLr c või SIL 1.
Miinimum ei tähenda, et see tase sobib automaatselt igasse rakendusse. Nõutav tase tuleb määrata konkreetsele funktsioonile, arvestades selle eesmärki ja asjakohaseid erinõudeid. Relee andmelehelt ei piisa PL e ümberkirjutamisest. Hinnata tuleb kogu funktsiooni teostust, mitte ainult üht elementi.
Ka korrektne kogu süsteemi arvutus ei asenda valideerimist. ISO 13849-1:2023 eristab saavutatud PL-i kontrollimist valideerimisest, mis hõlmab analüüsi ja katseid. Lisaks tuleb kontrollida funktsiooni spetsifikatsiooni täielikkust ja kooskõla kavandatud kasutusega.
See on oluline. Standard ei nõua ainult kontrollimist, kas programmeerija täitis valesti sõnastatud ülesande laitmatult. Kontrollida tuleb ka seda, kas ülesanne ise oli õigesti püstitatud.
Tulemus peab käima tegelikult ehitatud masina kohta
Kontroll ei lõpe liikumise seiskumisega. Funktsioon peab olema tõhus kõigis töörežiimides, hoidma seiskunud seisundit ning vältima peatatud tegevuste taaskäivitumist käivitussignaalist. Hädaseiskamisseadme vabastamine ei tohi masinat iseenesest taaskäivitada. Ka need tingimused peavad katsetes kajastuma.
Otsustele tasub siduda konkreetsed funktsiooni toimimist kinnitavad tõendid: protokollirida, mõõtetulemus, analüüs ning skeemi ja programmi versioon. Fail nimega „ohutuskatse” ei ole piisav, kui pole teada, mida kontrolliti ja millise kriteeriumi järgi tulemus õigeks tunnistati.
Katsed tuleb kavandada inimesi ohtu seadmata. Vabastamiskontseptsiooni kontrollimiseks ei tekitata päris inimesega kaasahaaramist. Kasutatakse ohutuid analüüsi-, katse- ja simulatsioonimeetodeid, mis sobivad konkreetse lahenduse hindamiseks.
Kontrollimata jätmine ei ole positiivne tulemus, isegi kui vormil on ainult üks märkeruut. Pärast hädareaktsiooni kinnitamist jääb endiselt eraldi küsimus ennetava kaitse kohta. Korrektselt teostatud E-STOP ei täida nõuet, mida pidi täitma puuduv kaitsekate või teisiti projekteeritud juurdepääs.
Kui protokoll ei küsi, mis ohust sai, ei peaks positiivne tulemus kedagi eriti rahustama.
Positiivne katsetulemus on väärtuslik ainult siis, kui enne katset oli kirjas, mida „positiivne” päriselt tähendab.
7. Hädaseiskamisfunktsioon ei ole lubadus, et kusagil on nupp
Ennetav ohutusfunktsioon peab vältima kindlat ohtlikku sündmust. Hädaseiskamisfunktsioon peab võimaldama õiget sekkumist, kui hädaolukord on juba olemas või läheneb. Mõlemad vajavad projekteerimist ja kontrollimist. Üks ei täida teise ülesannet ainult seepärast, et mõlemad võivad ajami peatada.
Hädaseiskamisnupuga projekt ei muutu terviklikuks, kui selles puudub kaitse prognoositava sündmuse eest. Seda puudujääki ei täida operaatori koolitus, juhtimissüsteemi kõrge PL ega katse, mis piirdus liikumise lõppemisega.
Ka hädasekkumine nõuab enamat kui otsust, millised väljundid välja lülitada. Määrata tuleb sobiv seiskamisviis, säilitada vajalik kaitse ja kavandada olukorra kontrolli alla saamiseks vajalikud toimingud. See on projekteerimistöö. Masina juures olev inimene ei peaks seda ohu tekkimise hetkel lõpule viima.
E-STOP-i ei ole vaja alahinnata. Sellele ei tohi lihtsalt omistada kaitset, mida see ei paku, ega võtta sellelt ära toiminguid, mida tõhus sekkumine vajab. Hädaseiskamisfunktsioon peab aitama ohuolukorda kontrollida, mitte õigustama kaitse puudumist enne ohu tekkimist.
Kui pärast kogu hindamist oskame öelda ainult „masin jäi seisma”, siis kontrollisime seiskamist. Inimese ohutusega võib veel päris palju tööd olla.
Masina seiskumine on tulemus. Inimese kaitsmine on eesmärk. Neid kahte ei tohi protokollis ega projektis segi ajada.
Allikad ja märkused
Analüüsi alus on ISO 13850:2015. Allpool olevad viited osutavad artiklis kasutatud konkreetsetele sätetele. Standardite lingid viivad väljaandja ingliskeelsetele kirjetele, mitte standardite täisteksti tasuta koopiatele. Seotud artiklid täiendavad käsitlust, kuid ei asenda normiallikaid.
[1] Funktsiooni eesmärk ja täiendav roll. ISO 13850:2015, punktid 3.1, 3.5 ja 3.8 ning 4.1.1.1–4.1.1.3: hädaseiskamise eesmärk, inimese algatus, ohutusfunktsiooni ja hädaolukorra mõisted ning muude kaitsemeetmete asendamise keeld. Artiklis eristatakse ennetavat ülesannet ja hädasekkumist; see ei välista hädaseiskamist ohutusega seotud funktsioonide hulgast.
[2] Valguskardin ja seiskumine enne ohtlikku kokkupuudet. ISO 12100:2010, punktid 6.3.2.5.1–6.3.2.5.2: puutetundliku kaitseseadise kasutamise tingimused, seiskamisvõimalus, tuvastusvälja asukoht ja seos juhtimissüsteemiga. Standard viitab paigutuse osas standardile ISO 13855. Artikli näide ei ole kauguse arvutus ega valmis valguskardina valik.
[3] Inimese sekkumisvõimalus ja juhendite piirid. ISO 12100:2010, punktid 5.5.2.3.3 ja 6.1: kahju vältimise või piiramise võimalust mõjutavad tegurid ning keeld asendada asjakohaseid kaitsemeetmeid kasutajale antava teabega. ISO/TR 14121-2:2012, punkt 8.4, nimetab hädaseiskamist näitena meetmest, mis mõjutab eelkõige kahju vältimise või piiramise võimalust. See on tehnilise aruande juhis, mitte alus riskigraafi väärtuse automaatseks vähendamiseks. Seadmete ligipääsetavust käsitleb ISO 13850:2015, punktid 4.3.1–4.3.2.
[4] Täiendavad kaitsetoimingud ja inimese vabastamine. ISO 13850:2015, standardi käsitlusala ning punktid 4.1.1.2 ja 4.1.1.5: teiste kaitsefunktsioonide tõhususe säilitamine ja muude toimingute algatamise võimalus. Nende toimingute üksikasjalikud teostusnõuded ei kuulu ISO 13850 käsitlusalasse. ISO 12100:2010 punktid 6.3.5.2–6.3.5.3 eristavad hädaseiskamist ning kinnijäänud inimeste vabastamise ja päästmise vahendeid.
[5] Muu kaitse säilitamine ja seiskamiskategooriad. ISO 13850:2015, punktid 4.1.1.2, 4.1.1.4–4.1.1.5 ja 4.1.3. Standard nimetab muu hulgas inimeste vabastamist, tulekahju kustutamist ning võimalikku vajadust säilitada elektromagnetiliste haaratsite või pidurite töö. Kategooriate 0 ja 1 kirjeldus ei tähenda kohustust eraldada kogu seade kõigist energiaallikatest.
[6] Üks inimese toiming, järjestus ja mõjualad. ISO 13850:2015, punktid 4.1.1.1, 4.1.1.5–4.1.1.6 ning 4.1.2–4.1.2.1: õige reaktsioon ilma seiskamiseks vajaliku edasise sekkumiseta, ette määratud järjestuse võimalus, seadme kasutamise tagajärgede projekteerimine ja mõjualade jagamise tingimused.
[7] PL, SIL, seiskunud oleku säilitamine ja lähtestamine. ISO 13850:2015, punkt 4.1.5.1: standardite ISO 13849-1 ja/või IEC 62061 asjakohased nõuded, minimaalne PLr c või SIL 1 ning elementide lubatud jagamine. Punktid 4.1.1.2 ja 4.1.4 käsitlevad funktsiooni kättesaadavust, seiskunud oleku säilitamist ja lähtestamist, mis ei tohi käivitada uut töötsüklit. Konkreetse rakenduse puhul tuleb arvestada ka asjakohaseid erinõudeid, sealhulgas kohaldatavat C-tüüpi standardit.
[8] Funktsiooninõuded ja valideerimine. ISO 13849-1:2023, peatükk 8 ning punktid 10.1.1, 10.2 ja 10.4.1: saavutatud PL-i kontrollimine, valideerimine analüüsi ja katsetega, spetsifikatsiooni täielikkuse ja kooskõla kontrollimine ning katseplaani ja oodatavate tulemuste eelnev määramine. Artikli tabel on teabe korrastamise ettepanek, mitte kõigile süsteemidele sobiv täielik valideerimisplaan.
[9] Euroopa Liidu õigusnõuete kontekst. Direktiiv 2006/42/EÜ — ingliskeelne tekst EUR-Lexis, I lisa punktid 1.2.4.3–1.2.4.4, ning määrus (EL) 2023/1230 — ingliskeelne tekst EUR-Lexis, III lisa punktid 1.2.4.3–1.2.4.4: hädaseiskamise täiendav roll, lisariski vältimine, kaitsvad liikumised ja selliste seotud seadmete seiskamine, mille töö jätkumine võib olla ohtlik. Määrust hakatakse üldjuhul kohaldama 20. jaanuaril 2027; üleminekusätted ja tähtajad on esitatud artiklites 52 ja 54. Standardi nimetamine ei ole väide selle harmoneerituse kohta konkreetse õigusaktiga.
Näidete laad ja kasutuspiirid. Kirjeldatud töökohad, toitesüsteemid, dokumentatsioonilaused ja ütlused on mudelnäited. Need ei kirjelda tõendatud tööõnnetust ega ole konkreetse masina päästejuhend. Elementide lahutamine, surve vabastamine ja vastassuunaline liikumine nõuavad nõuetekohast projekteerimist ning tagajärgede hindamist. Artikkel käsitleb funktsiooni rolli ja toimeloogikat, mitte kõiki ISO 13850 nõudeid; standardi käsitlusala ja erandid määrab selle esimene peatükk.