Turvavaloverhon turvaetäisyys: F_WD_TIME ja 560 mm

Turvavaloverhoa ei siirretty. Silti raja, josta se voitiin hyväksyä turvalliseksi, siirtyi.

Tästä turvavaloverhon turvaetäisyys usein paljastaa karun totuuden. SIMATIC S7-1500F -ohjaimessa, TIA Portal V18 -ympäristössä, F_WD_TIME nostettiin noin 150 millisekunnista noin 500 millisekuntiin. Se ei vielä todista suunnitteluvirhettä. PROFIsafe-valvonta-aika ei ole yleispätevä taikaluku. Sen pitää sopia oikeaan tiedonsiirtoon, turvaohjelman jaksoihin ja käytettyihin F-laitteet-kokoonpanoihin.

Ongelma alkaa vasta silloin, kun muutos käsitellään pelkkänä tiedonsiirron korjauksena eikä sen vaikutusta koko turvatoimintoon tarkisteta.

Älä etsi näistä kahdesta arvosta valmista reseptiä. Arvot on pyöristetty tapauksen kuvaamista varten. Ne eivät ole Siemensin yleisiä suositusarvoja.

Tässä tapauksessa vaikutus näkyi vasta uudessa validoinnissa. Jälkikäyntimittaus määritti vaarallisen liikkeen todellisen pysähtymisajan. Turvaan liittyvän ohjausjärjestelmän maksimaalinen vasteaika laskettiin nykyisellä kokoonpanolla. Kun nämä yhdistettiin oikein ja turvavaloverhon turvaetäisyys laskettiin uudelleen ISO 13855:n mukaan, tulos oli selvä: turvavaloverho oli liian lähellä vaaravyöhykettä. Puoli metriä puuttui. Itse asiassa enemmän.

Mittakaavan näyttää kaava S = (K × T) + C. Jos kokonaisaika T kasvaa 350 ms, vaadittu etäisyys kasvaa nopeudella K = 1600 mm/s yhteensä 560 mm. F_WD_TIME-arvon erotus ei kuitenkaan siirry kokonaisaikaan automaattisesti yksi yhteen. Siksi ratkaisevaa on koko turvatoiminnon laskenta ja mittaus.

Lisäpuolelle metrille ei ollut tilaa. Turvavaloverhoa ei voitu siirtää kauemmas, joten suojaustapa piti muuttaa. Tilalle tuli läpinäkyvä, lukituksella varustettu suojus. Turvaan liittyvä ohjausjärjestelmä rakennettiin uudelleen ja uusille turvatoiminnoille määritettiin PLr = d.

Tässä kohtaa tarina ei enää koske yhtä parametria TIA Portalissa. F_WD_TIME-muutos voi käynnistää koko ketjun: vasteajan uudelleenlaskennan, suojaustavan vaihdon, riskin arvioinnin ja lopulta kysymyksen siitä, onko kyseessä olennainen muutos ja kuka kantaa valmistajan velvollisuudet.

Turvavaloverhon turvaetäisyys: onko F_WD_TIME 500 ms väärä arvo?

Tällainen muutos herättää hallin lattialla heti epäilyksen:

• Kuka nostaa watchdog-arvon 150 millisekunnista 500 millisekuntiin?
• Eikö tämä ole turvatoimintoon vaikuttava parametri?
• Yritetäänkö tällä peittää tiedonsiirron ongelmia?

Hyviä kysymyksiä. Mutta yksikään niistä ei vielä ratkaise, onko turvavaloverho edelleen oikealla etäisyydellä.

Oikea kysymys kuuluu näin: mitä F_WD_TIME-muutos teki maksimaaliselle vasteajalle ja turvavaloverhon vaaditulle etäisyydelle?

Miksi F_WD_TIME-arvolle ei ole yhtä oikeaa lukua?

F_WD_TIME ei ole yksi universaali arvo kaikille koneille. Liian lyhyt valvonta-aika voi aiheuttaa F-laitteiden passivoinnin, vaikka tiedonsiirrossa ei olisi varsinaista vikaa. Laajemmassa kokoonpanossa merkitystä on esimerkiksi F-CPU:n jaksoilla, verkon päivityksellä, käytetyillä F-laitteilla ja PROFIsafe-arkkitehtuurilla.

Siksi 150 ms voi olla väärin valittu ja 500 ms täysin perusteltu. Tai 150 ms voi olla oikein ja 500 ms täysin perusteeton. Pelkkä numero ei kerro totuutta.

Siemens kuvaa kaksi vaatimusta, joiden pitää toteutua yhtä aikaa. Valvonta-ajan on oltava riittävän pitkä, jotta se ei ylity virheettömässä käytössä. Samalla sen on oltava riittävän lyhyt, jotta prosessin turvallisuusaikaa ei ylitetä.

Parametrin kasvattaminen voi siis parantaa koneen käytettävyyttä. Se ei kuitenkaan todista, että kone reagoi edelleen riittävän nopeasti tai että aiempi suojaustapa on yhä tehokas.

Tässä F_WD_TIME nostettiin noin 150 millisekunnista noin 500 millisekuntiin. Teknisesti muutos saattoi olla perusteltu juuri kyseisen kokoonpanon vaatimuksilla. Turvallisuuden kannalta se vaati koko turvatoiminnon uudelleentarkistuksen.

Itse watchdog-arvo ei välttämättä ole ongelma. Ongelma alkaa, jos sen muuttamisen jälkeen jatketaan vanhoilla laskelmilla, vanhalla pöytäkirjalla ja vanhalla etäisyydellä.

Miksi ei vain palata takaisin 150 millisekuntiin?

Tämä on ensimmäinen kysymys, joka validointituloksen jälkeen pitää kysyä. Jos 500 ms tekee turvavaloverhosta liian lähellä olevan, miksi ei vain aseteta takaisin 150 ms?

Jos lyhyempi arvo edelleen vastaa todellista PROFIsafe-kokoonpanoa, ratkaisu voi olla oikea. Konetta ei kannata rakentaa uusiksi vain siksi, että tarpeettoman pitkä watchdog halutaan väkisin säilyttää.

Tilanne muuttuu, jos 150 ms ei anna riittävää marginaalia nykyisille F-CPU-jaksoille, F-laitteille ja tiedonsiirrolle. Vanhaan arvoon palaaminen parantaisi laskennallista etäisyyttä, mutta ei poistaisi parametrimuutoksen syytä.

Perussääntö on yksinkertainen: turvavaloverhon etäisyys seuraa vasteajasta. Vasteaikaa ei valita sen mukaan, paljonko hallissa sattuu olemaan tilaa.

Ensin pitää selvittää, voidaanko F_WD_TIME lyhentää, voidaanko muita vasteajan osia pienentää ja voidaanko mekaanista pysähtymisaikaa lyhentää. Vasta jos nämä vaihtoehdot suljetaan pois, jäljelle jää kaksi tietä: turvavaloverho siirretään kauemmas tai suojaustapa vaihdetaan.

Tässä lisäpuolelle metrille ei ollut tilaa. Ongelmaa ei voitu sulkea pelkällä asetuksen korjauksella. Suojauskonsepti piti muuttaa.

Jälkikäyntimittaus ja vasteajan laskenta: 350 ms voi olla 560 mm

Tähän asti voidaan vielä kiistellä PROFIsafe-kokoonpanosta. Oliko 150 ms oikein? Oliko 500 ms välttämätön? Olisiko jaksoa voitu lyhentää tai tiedonsiirtoa parantaa?

Vastaus tulee vasta yhtenäisestä validoinnista. Maksimaalisen vasteajan laskenta näyttää, miten ohjausjärjestelmän osa käyttäytyy myös valituissa vikatilanteissa. Jälkikäyntimittaus näyttää, milloin vaarallinen liike todellisuudessa lakkaa. Näiden rajat pitää määrittää selvästi, jotta mitään osaa ei jätetä pois eikä lasketa kahteen kertaan.

Mittaustavan pitää vastata analysoitua skenaariota. Tyypillinen mittaus, joka käynnistetään turvavaloverhon keskeytyksellä normaalissa tiedonsiirrossa, vahvistaa ehjän vastepolun. Se ei välttämättä sisällä F_WD_TIME-odotusta. Watchdog-vaikutus maksimaaliseen vastepolkuun on silloin osoitettava turvajärjestelmän aikojen laskennalla ja yhdistettävä liikkeen todelliseen pysähtymiseen.

Pelkkä toteamus, että kone pysähtyi, ei riitä. Kysymys on tämä: pysähtyikö se ennen kuin ihminen ehti vaaravyöhykkeelle?

Miten turvavaloverhon turvaetäisyys lasketaan ISO 13855:n mukaan?

ISO 13855 muuntaa ajan etäisyydeksi:

S = (K × T) + C

Jos muut osat eivät muutu, kokonaisajan muutoksen vaikutus voidaan näyttää muodossa:

ΔS = K × ΔT

ΔT tarkoittaa tässä kahden maksimaalisen vasteajan laskennan välistä eroa. Se ei tarkoita automaattisesti pelkkää F_WD_TIME-asetuksen erotusta. Arvo K = 2000 mm/s näyttää matematiikan mittakaavan. Projektissa oikea vaihtoehto valitaan ISO 13855:n vaatimusten mukaan, ei sen mukaan, mikä antaa miellyttävämmän tuloksen.

K-arvoa ei saa valita sen perusteella, että tulos mahtuu paremmin lattialle. Oikea laskentatapa, C-arvo ja muut ehdot riippuvat lähestymistavasta, tunnistuskyvystä ja kyseisen sovelluksen ISO 13855 -vaatimuksista.

Tämä ei ole marginaali, jonka voi pyöristää pois. Se on etäisyys, joka pitää olla turvavaloverhon tunnistuskentän ja vaaravyöhykkeen välissä.

Mikä mittaustulos otetaan käyttöön?

Yksi mittaus ei riitä. Tässä tapauksessa käytetyn ISO 13855 -painoksen informatiivinen liite viittasi vähintään 10 mittaukseen. Mittaukset pitää tehdä niissä tunnistetuissa olosuhteissa, jotka johtavat pisimpään realistiseen vaaran lakkaamisaikaan. Koneesta riippuen näitä voivat olla nopeus, kuorma, työkierron vaihe, lämpötila ja pysäytyksestä vastaavien osien kunto.

Mikä tulos otetaan mukaan? Ei kaunein. Ei keskiarvo. Ei se, joka pelastaa vanhan turvavaloverhon.

Liitteessä kuvatun menetelmän mukaan etäisyyden määritykseen otetaan suurempi kahdesta arvosta: pisin mitattu aika tai keskiarvo lisättynä kolmella keskihajonnalla.

Mitä pysähtymisajan mittaus tarkalleen kattaa?

Myös mittauksen rajat pitää pitää kurissa. Jos mittalaite mittaa koko ajan suojalaitteen toiminnasta liikkeen lakkaamiseen, samoja osia ei saa lisätä uudelleen laskurista. Jos mittaus kattaa vain pysäytyksen mekaanisen osuuden, aiemman vastepolun laskettu aika pitää lisätä.

Tässä laskennan ja jälkikäyntimittauksen yhdistäminen johti yhteen johtopäätökseen: vaadittu turvavaloverhon etäisyys kasvoi yli puoli metriä.

Mutta hallissa sitä puolta metriä ei ollut.

Turvavaloverho toimi oikein. Silti se piti poistaa

Tämä kuulostaa ristiriidalta, mutta ei ole sitä. Turvavaloverho havaitsi ihmisen ja käynnisti pysäytyksen. Vika ei ollut laitteessa. Vika oli etäisyydessä vaaravyöhykkeeseen.

Turvavaloverho ei pysäytä ihmistä fyysisesti. Se tunnistaa sisääntulon ja antaa koneelle pysäytyssignaalin. Koko ajatus toimii vain, jos vaarallinen liike lakkaa ennen kuin ihminen ehtii vaaraan.

Miksi tilanpuute pakotti muuttamaan suojausperiaatteen?

Mitä tehdään, kun mittaus ja laskenta osoittavat, että tarvitaan 560 mm lisää, mutta hallissa ei ole enää tilaa?

ISO 12100 pakottaa palaamaan riskin vähentämisen iteratiiviseen prosessiin. Ensin tarkastetaan uudelleen luontaisesti turvalliset ratkaisut, mukaan lukien vasteajan ja pysähtymisajan lyhentäminen. Jos se ei riitä, valitaan tekninen suojaustoimenpide todellisten olosuhteiden mukaan.

Tilanpuute ei muuta ISO 13855:n tulosta.

Tässä tapauksessa suojausperiaate vaihtui. Turvavaloverho, joka tunnisti ihmisen saapumisen alueelle, korvattiin läpinäkyvällä suojuksella, jonka tehtävä oli estää pääsy alueelle.

Läpinäkyvät paneelit säilyttivät prosessin näkyvyyden, mutta ne eivät olleet koristeita. Suojuksen rakenne, lujuus ja kiinnitys arvioitiin ISO 14120:n mukaan. Suojus ei saanut luoda uusia puristumispaikkoja tai teräviä reunoja. Ulottuminen rakenteen läpi, yli tai ali piti arvioida ISO 13857:n perusteella.

Miksi käytettiin lukituksella varustettua suojusta?

Käyttöön ja huoltoon tarvittiin silti pääsy. Miksi pelkkä lukittava suojus ei riittänyt?

Lukittavan suojuksen avaaminen käynnistää pysäytyksen, mutta se ei välttämättä estä välitöntä avaamista. Jos vaarallinen liike lakkaa vasta viiveellä, käyttäjä voi ehtiä vaaravyöhykkeelle ennen kuin kone on oikeasti pysähtynyt.

Lukituksen tarvetta ei ratkaise pelkkä jälkikäynnin olemassaolo. Ratkaisevaa on vaaran lakkaamisajan vertailu pääsyyn kuluvaan aikaan sekä riskin arviointi. Tässä suojuksen piti pysyä kiinni pääsypyynnöstä siihen asti, kun riski oli lakannut. Vasta sen jälkeen järjestelmä sai vapauttaa lukituksen ja sallia oven avaamisen. Lukittavan laitteen, lukituksen ja ohittamisen estämisen periaatteet käsitellään ISO 14119:ssä.

Turvavaloverhon vaihtaminen lukituksella varustettuun suojukseen ei ollut yhden komponentin vaihtoa toiseen. Uudet turvatoiminnot piti rakentaa:

• liikkeen pysäyttäminen pääsypyynnön jälkeen,
• käynnistyksen estäminen suojuksen ollessa auki,
• lukituksen ylläpito siihen asti, kun riski on lakannut,
• lukituksen vapautus vasta vaadittujen ehtojen varmistamisen jälkeen,
• odottamattoman uudelleenkäynnistyksen estäminen.

PLr = d koskee turvatoimintoa, ei pelkkää suojusta

Jokaiselle tunnistetulle turvatoiminnolle määritettiin vaadittu PLr riskin arvioinnin perusteella. Tässä tapauksessa riskin vähentämiseen tarkoitetuille toiminnoille asetettiin PLr = d. Sen jälkeen turvaan liittyvän ohjausjärjestelmän osat suunniteltiin niin, että saavutettu PL oli vähintään PLr:n tasolla. Toiminnot todennettiin ja validoitiin ISO 13849-1:n mukaisesti.

Tämä ei tarkoita, että suojus itsessään olisi ollut PL = d. Suoritustaso koskee koko turvatoimintoa: paikan ja lukituksen tilan tunnistimista ohjauslogiikkaan ja edelleen liikkeen pysäyttävään toimilaitteeseen. Yhden kytkimen merkintä ei todista koko järjestelmän saavutettua tasoa.

Lopputulos: yhden asetuksen muutos johti uuteen suojukseen, uusiin turvatoimintoihin, turvaohjelman muutoksiin ja uuteen validointiin.

Ja juuri tästä syntyy seuraava kysymys: onko muutoksen tehnyt taho edelleen pelkkä koneen käyttäjä, vai onko se jo ottanut valmistajan velvollisuudet?

Digitaalisesta muutoksesta olennaiseen muutokseen

Ensilukemalta vastaus näyttää helpolta. Turvavaloverho korvattiin lukituksella varustetulla suojuksella, turvaohjelmaa muutettiin ja uusia turvatoimintoja lisättiin. Työmäärä oli iso, joten muutoksen täytyi olla olennainen.

Asetus (EU) 2023/1230 ei kuitenkaan laske muutettujen osien määrää. Se ei kysy, montako metriä suojusta lisättiin tai montako ohjelmalohkoa kirjoitettiin uusiksi. Se kysyy, mitä muutos teki turvallisuudelle.

Miten asetuksen edellytykset arvioidaan yhdessä?

Tässä tilanteessa pitää selvittää yhdessä seuraavat asiat:

• tehtiinkö koneen markkinoille saattamisen tai käyttöönoton jälkeen fyysinen tai digitaalinen muutos,
• oliko muutos sellainen, jota koneen valmistaja ei ollut ennakoinut tai suunnitellut,
• synnyttikö muutos uuden vaaran tai kasvattiko se olemassa olevaa riskiä,
• edellyttikö se suojuksen tai suojalaitteen lisäämistä,
• edellyttikö tämän suojaustoimenpiteen toiminta olemassa olevan turvaan liittyvän ohjausjärjestelmän muuttamista.

Pelkkä F_WD_TIME-muutos ei yksin ratkaise, että kyseessä on olennainen muutos. Se voi kuitenkin täyttää edellytykset, jos koko ketju vahvistuu riskin arvioinnissa.

Tässä lähtökohtana oli digitaalinen muutos käytössä olevaan koneeseen. Uusi validointi osoitti, ettei olemassa oleva turvavaloverhon turvaetäisyys enää tuottanut oletettua riskin vähennystä. Turvallisuutta ei voitu palauttaa siirtämällä turvavaloverhoa, ja uusi lukituksella varustettu suojus vaati turvaan liittyvän ohjausjärjestelmän toimintojen uudelleenrakentamista.

Tällainen ketju vastaa asetuksessa kuvattua olennaisen muutoksen mekanismia:

digitaalinen muutos → riskin kasvu → uusi suojaustoimenpide → olemassa olevan turvaan liittyvän ohjausjärjestelmän muutos

Yhtä edellytystä ei saa arvata työmäärän perusteella: oliko tällainen muutosvaihtoehto valmistajan ennakoima tai suunnittelema?

Jos valmistaja oli käsitellyt sen alkuperäisessä riskin arvioinnissa, dokumentaatiossa ja ohjeissa, kyse voi olla ennakoidun kokoonpanon sisäisestä muutoksesta. Jos sitä ei ollut ennakoitu ja muut edellytykset täyttyvät, tapaus voi olla olennainen muutos.

Milloin tekijä ottaa valmistajan velvollisuudet?

Jos kaikki edellytykset täyttyvät, asetuksen (EU) 2023/1230 artikla 18 pitää olennaisen muutoksen tekevää luonnollista henkilöä tai oikeushenkilöä valmistajana kyseisen asetuksen soveltamisessa. Velvollisuudet koskevat konetta tai siihen liittyvää tuotetta, johon muutos vaikuttaa. Koneyhdistelmässä ne voivat rajautua siihen tuotteeseen, jonka osalta vaikutus osoitetaan riskin arvioinnissa.

Tämä ei pääty uuteen riskin arviointiin ja validointiin. Valmistajan velvollisuuksiin kuuluvat myös teknisen asiakirja-aineiston laatiminen, asianmukainen vaatimustenmukaisuuden arviointi, EU-vaatimustenmukaisuusvakuutuksen laatiminen, CE-merkintä, ohjeiden ja tunnistetietojen varmistaminen sekä teknisen asiakirja-aineiston ja EU-vaatimustenmukaisuusvakuutuksen säilyttäminen vähintään 10 vuotta.

Asetus tuli voimaan 19.7.2023, mutta olennaista muutosta koskevia keskeisiä säännöksiä sovelletaan 20.1.2027 alkaen. Jos muutos tehtiin aiemmin, sitä ei arvioida takautuvasti näiden artiklojen perusteella. Silloin sovelletaan muutoksen tekohetkellä voimassa olleita sääntöjä.

Konedirektiivi 2006/42/EY ei sisältänyt oikeudellista määritelmää olennaiselle muutokselle. Alan käytännössä puhuttiin silti merkittävistä modernisoinneista. Komission virallinen opas korosti tarvetta arvioida, oliko muutoksen laajuus käytännössä uuden koneen rakentamista.

Lisää oikeudellisesta testistä käsittelemme artikkelissa olennainen muutos – milloin siitä on oikeasti kyse. Voit myös käydä läpi olennaisen muutoksen edellytysten tarkistuksen.

Kuinka pitkälle olennaisen muutoksen vaikutus ulottuu?

Kun joku sanoo, että tekijä ottaa valmistajan velvollisuudet, keskustelu lipsuu helposti kahteen ääripäähän.

Ensimmäinen on paniikki: koko linjan vaatimustenmukaisuuden arviointi ja dokumentaatio pitää tehdä alusta asti.

Toinen on vähättely: vaihdettiin vain turvavaloverho suojukseen, joten dokumentoidaan vain uusi ovi ja lukitus.

Molemmat voivat olla vääriä.

Asetuksen johdanto-osan 26 perustelukappale selittää, että olennaisen muutoksen tekijää ei pidä velvoittaa toistamaan testejä tai laatimaan uutta dokumentaatiota niistä koneista tai tuotteista, jotka ovat osa koneyhdistelmää mutta joihin muutos ei vaikuta.

Se ei kuitenkaan poista velvollisuuksia siltä koneelta tai tuotteelta, johon muutos todella vaikuttaa.

Vaikutusaluetta ei voi määrittää projektin nimen, ohjauskaapin rajan tai uuden suojuksen sijainnin perusteella. Sen pitää tulla riskin arvioinnista.

Siksi pitää tarkistaa paljon enemmän kuin oven rakenne:

• minkä osan linjasta suojuksen avaaminen pysäyttää,
• muuttuivatko pysäytysalueiden rajat,
• voivatko viereiset koneet tehdä edelleen vaarallista liikettä,
• missä kuittaus sijaitsee ja mitä käyttäjä näkee sieltä,
• voiko sulkemisen jälkeen syntyä odottamaton uudelleenkäynnistys,
• voiko ihminen jäädä suojuksen ja vaaravyöhykkeen väliin,
• vaikuttaako muutos koneiden välisiin rajapintoihin.

Jos riskin arviointi osoittaa, että olennainen muutos vaikuttaa vain yhteen koneeseen tai yhteen koneyhdistelmän osana olevaan tuotteeseen, artikla 18 mahdollistaa valmistajan velvollisuuksien rajaamisen siihen tuotteeseen.

Jos taas yhteinen pääsy, pysäytys, kuittaus, uudelleenkäynnistys tai alueiden välinen tiedonsiirto muuttui, ei voi väittää, että muutos koskee vain yhtä ovea.

Kone vai integroitu tuotantojärjestelmä?

Jos analysoitu kokonaisuus on integroitu tuotantojärjestelmä, jossa vähintään kaksi toisiinsa liitettyä konetta toteuttaa määrätyn käyttötarkoituksen, rajapintojen ja turvatoimintojen keskinäisvaikutuksen arviointiin tulee mukaan ISO 11161.

Yksittäiset koneet voivat olla vaatimustenmukaisia ja oikein suojattuja. Silti niiden yhdistäminen tai yhteisen suojaustoimenpiteen muuttaminen voi synnyttää uuden riskin koko järjestelmän tasolla.

Oikea kysymys kuuluu: kuinka pitkälle muutos vaikuttaa toimintoihin, alueisiin ja turvallisuuden rajapintoihin?

Mitä asiakirjoja ja todisteita pitää päivittää?

Niiden koneiden tai koneyhdistelmän osien osalta, joihin muutos ei vaikuta, testejä ei tarvitse toistaa eikä dokumentaatiota tehdä uudelleen. Muutetun tuotteen dokumentaatiossa voidaan käyttää aiempia todisteita, jos ne ovat edelleen ajantasaisia ja relevantteja.

Kokonaisuuden pitää silti osoittaa johdonmukaisesti sen koneen tai tuotteen vaatimustenmukaisuus, johon valmistajan velvollisuudet kohdistuvat.

Tämä ei aina tarkoita, että jokainen asiakirja kirjoitetaan tyhjältä sivulta. Se tarkoittaa, että muutoksen kohteena olevalle tuotteelle laaditaan täydellinen ja ristiriidaton tekninen asiakirja-aineisto. Siinä osoitetaan, mitkä aiemmat todisteet ovat edelleen voimassa, mitkä on päivitetty ja miksi muutos ei vaikuta muihin koneisiin tai tuotteisiin.

Turvavaloverhon turvaetäisyys muuttuu? Tarkista koko ketju uudelleen

F_WD_TIME-muutos ei automaattisesti tarkoita koko dokumentaation tekemistä alusta. Jos se kuitenkin johtaa olennaiseen muutokseen, teknisen asiakirja-aineiston pitää kattaa kone tai tuote, jonka turvallisuuteen muutos vaikuttaa.

Vanha jälkikäyntimittauksen pöytäkirja voi olla edelleen hyvä historiallinen tallenne. Se ei silti automaattisesti todista, että turvavaloverhon turvaetäisyys on oikea turvaohjelman muutoksen jälkeen.

Yksikään todiste ei korvaa muita. Laskuri näyttää ohjausjärjestelmän vasteen. Jälkikäyntimittaus näyttää liikkeen todellisen lakkaamisen. ISO 13855 muuttaa ajan etäisyydeksi. Riskin arviointi ratkaisee, riittävätkö suojaustoimenpiteet.

Siksi jokaisesta vasteaikaan vaikuttavan parametrin muutoksesta pitää jäädä luettava jälki: syy, kokoonpano ennen ja jälkeen, laskelmat, mittaustulokset, riskin arviointi, suunnittelupäätös ja validointiraportti.

Jätä jälki parametrista validointiin

Siemensin RT Calculator auttaa vasteajan laskennassa. Se ei kuitenkaan kerro, miksi muutos hyväksyttiin tai mitä seurauksia sillä oli koko koneeseen.

Tämä päätösketju kannattaa pitää kasassa järjestelmässä, jossa riskin arviointi, muutosten perustelut, korjaavat toimenpiteet ja validointitodisteet pysyvät samassa kuvassa. Safety Software – koneiden riskin arviointi auttaa tähän. Audit trail -toiminnolla jää näkyviin muutosten historia ja perustelut, ja koneauditointi kokoaa havainnot, toimenpiteet ja validoinnin todisteet.

Yhteenveto

Tämä tapaus ei todista, että F_WD_TIME = 500 ms olisi väärä arvo. Se näyttää tärkeämmän asian: vasteaikaan vaikuttavan parametrin muutos voi mitätöidä aiemmat turvallisuusoletukset.

Ketju oli yksinkertainen:

F_WD_TIME-muutos → toinen maksimaalinen vasteaika → suurempi turvavaloverhon turvaetäisyys → tilanpuute → uusi lukituksella varustettu suojus → turvaan liittyvän ohjausjärjestelmän muutos

Kun K = 1600 mm/s, 350 ms lisäys kokonaisaikaan tarkoittaa 560 mm lisää vaadittua etäisyyttä. Tätä tulosta ei voi pienentää siksi, että hallista loppuu tila. Jos aikaa ei voi lyhentää eikä turvavaloverhoa siirtää, suojausperiaate pitää muuttaa.

Pelkkä watchdog-arvon muuttaminen ei ratkaise, että kyseessä on olennainen muutos. Se voi kuitenkin käynnistää ketjun, joka täyttää kaikki edellytykset: digitaalinen muutos koneen käyttöönoton jälkeen, valmistajan ennakoimaton muutos, riskin kasvu, uusi suojaustoimenpide ja olemassa olevan turvaan liittyvän ohjausjärjestelmän muutos.

Tärkein kysymys ei siis ole, saiko F_WD_TIME-arvon nostaa.

Tärkein kysymys on: laskettiinko, mitattiinko ja validoitiinko koneen turvallisuus uudelleen muutoksen jälkeen?

Jos vastaus perustuu ajantasaisiin laskelmiin, jälkikäyntimittaukseen, riskin arviointiin ja validointiin, muutos on hallinnassa.

Jos vastaus perustuu vanhaan pöytäkirjaan ja ajatukseen, että turvavaloverhoa ei edes siirretty, ongelma on juuri alkanut.

Viralliset lähteet ja käytetyt standardit

Siemens

• SIMATIC Safety – valvonta-aikojen konfigurointi
• SIMATIC STEP 7 Safety Advanced – RT Calculator
• SIMATIC Safety – turvatoimintojen vasteajat
• IWLAN-yhteyden kautta toteutettava turvatoiminto – esimerkki TIA Portal V18 -ympäristöön
• SIMATIC Safety – järjestelmän hyväksyntä ja aikojen todentaminen

EU-sääntely

• asetus (EU) 2023/1230 – ajantasainen teksti
• asetus (EU) 2023/1230 – johdanto-osan 26 perustelukappale
• komission opas konedirektiiviin 2006/42/EY

Analyysissä käytetyt standardit

• ISO 12100 – riskin arviointi ja riskin vähentäminen
• ISO 13855 – teknisten suojaustoimenpiteiden sijoittaminen
• ISO 14119 – suojuksiin liittyvät lukittavat laitteet
• ISO 14120 – suojusten suunnittelu ja rakenne
• ISO 13857 – turvaetäisyydet vaaravyöhykkeelle ulottumisen estämiseksi
• ISO 13849-1 – turvaan liittyvän ohjausjärjestelmän osien suunnittelu
• ISO 11161 – integroidut tuotantojärjestelmät

Ennen standardin soveltamista on varmistettava kyseiseen projektiin kuuluva painos, kansallinen julkaisu ja ajantasainen vaatimustenmukaisuusolettaman perusta.