„U slučaju opasnosti operater će pritisnuti gljivasto tipkalo.” Tako se često pokušava završiti rasprava o zaštitnim mjerama. Tipkalo postoji, strujni krug radi, a stroj se tijekom ispitivanja zaustavio. Preostaje samo pretpostaviti da će čovjek primijetiti opasnost, stići reagirati i učiniti ono što prethodno nije osigurano konstrukcijom ni zaštitom radnog mjesta.
Projektant ne može refleks operatera uračunati kao nadomjestak za zaštitnu mjeru koja nedostaje. Preventivna sigurnosna funkcija mora spriječiti određeni opasni događaj. Funkcija zaustavljanja u nuždi omogućuje intervenciju kada izvanredna situacija već postoji ili neposredno prijeti: treba zaustaviti njezin razvoj i ograničiti posljedice opasnosti. Može pomoći da se izbjegne ozljeda. Time ipak ne postaje zamjena za zaštitnu mjeru koja je trebala spriječiti nastanak opasnog događaja.
To je razlika između projektirane zaštite i nade u uspješnu ljudsku intervenciju. U procjeni rizika ta se razlika ne smije izgubiti pod zajedničkom tvrdnjom „ugrađen je sigurnosni sustav”. ISO 13850 određuje zaustavljanje u nuždi kao dopunsku zaštitnu mjeru. Ne zato što je nevažno, nego zato što mora dopunjavati ostale zaštitne mjere, a ne opravdavati njihov izostanak.
Drugi nesporazum počinje rečenicom: „Nakon pritiska isključujemo sve.” Zvuči odlučno. Problem je što zaustavljen stroj nije nužno siguran stroj. Čovjek može ostati ukliješten, a isključivanje opreme koja ga štiti može dodatno pogoršati situaciju. Samo mirovanje ne dokazuje da je opasnost stavljena pod nadzor.
Zato se zadaća zaustavljanja u nuždi ne svodi na isključivanje što većeg broja uređaja. Treba utvrditi koje opasne radnje moraju prestati, kojim redoslijedom i što mora nastaviti raditi radi zaštite čovjeka. U nekim primjenama potrebne su dodatne zaštitne radnje, a ne samo zaustavljanje. Operater mora moći pokrenuti reakciju jednom radnjom, bez razmišljanja hoće li posljedice pritiska biti gore od postojeće opasnosti. To se rješava tijekom projektiranja, ne usred nesreće.
Ako je prijamno ispitivanje završilo potvrdom da je pogon stao, potvrdili ste zaustavljanje. Još niste dokazali da je stroj pravilno reagirao na izvanrednu situaciju.
1. Prevencija i reakcija u nuždi nisu dva načina rješavanja istog problema
„Svjetlosna zavjesa zaustavlja stroj. Gljivasto tipkalo također. Zašto komplicirati?” Kad bi učinkovitost zaštitne mjere ovisila samo o tome hoće li se motor na kraju zaustaviti, pitanje bi bilo razumno. Mogla bi se usporediti dva električna nacrta, pronaći isti sklopnik i zaključiti da je glavna razlika u cijeni.
Izostavljeno je samo ono najvažnije: kada će se stroj zaustaviti i što se do tada može dogoditi čovjeku. Preventivna sigurnosna funkcija treba spriječiti određeni opasni događaj. Zaustavljanje u nuždi treba omogućiti reakciju na postojeću ili nadolazeću izvanrednu situaciju. U oba slučaja možda treba zaustaviti gibanje, ali to ne znači da je riješen isti problem.
Svjetlosna zavjesa ne služi dojavi da je netko već dosegnuo alat
Zamislimo radno mjesto na kojem čovjek može dosegnuti pokretni alat. Pretpostavimo da se pristup može zaštititi svjetlosnom zavjesom: opasno gibanje može se zaustaviti tijekom ciklusa, a alat se ne može dosegnuti zaobilaženjem polja detekcije.
Svjetlosna zavjesa otkriva ruku i pokreće zaustavljanje. Njezina udaljenost od alata mora uzeti u obzir vrijeme reakcije cijelog sustava i zaustavni put stroja. Opasno gibanje mora prestati prije nego što ga čovjek može dosegnuti. To je zadaća funkcije. Nije dovoljno preklopiti izlaze i prikazati poruku „sigurnosno zaustavljanje” na upravljačkoj ploči.
Ako ruka može stići do pokretnog alata prije nego što se stroj zaustavi, zaštita od tog kontakta nije osigurana. Svjetlosna zavjesa pritom može raditi ispravno, upravljački sustav može primiti signal, a pogon izvršiti naredbu. Svi uređaji mogu djelovati točno prema projektu. Pogrešan može biti upravo projekt.
Zato provjera svjetlosne zavjese nije samo prekidanje njezinih zraka. Treba dokazati da detekcija i zaustavljanje doista sprečavaju događaj od kojeg trebaju štititi.
Kod zaustavljanja u nuždi čovjek mora pokrenuti intervenciju
Uređaj za zaustavljanje u nuždi ne preuzima zadaću otkrivanja pristupa. On čovjeku omogućuje pokretanje predviđene reakcije na situaciju koja zahtijeva trenutačnu intervenciju. Ozljeda se ne mora već dogoditi. ISO 13850 obuhvaća i nadolazeću izvanrednu situaciju: netko može primijetiti opasan razvoj događaja i pritisnuti tipkalo prije nastanka štete. Intervencija može biti potrebna i kada opasno djelovanje već traje.
U prvom primjeru zaštitu pokreće detekcija ruke. U drugom čovjek mora prepoznati potrebu za intervencijom i sam je pokrenuti. To se ne može izjednačiti tvrdnjom da „oboje zaustavlja”.
Kada bi se iz primjera uklonila svjetlosna zavjesa i ostavilo samo tipkalo, više ne bi bilo automatskog zaustavljanja nakon otkrivanja ruke. Zadaća uočavanja problema i pokretanja reakcije prešla bi na čovjeka. Iz projekta je uklonjena detekcija, a u obrazloženju je dopisano da je operater osposobljen. Ušteda je stvarna. Jednakovrijednost zaštitnih mjera je izmišljena.
Upravo zato ISO 13850 zaustavljanje u nuždi smatra dopunskom zaštitnom mjerom i zabranjuje da se njime zamijene potrebne tehničke zaštitne mjere i druge funkcije. Zaustavljanje u nuždi jest sigurnosna funkcija, ali mu se zato ne može dodijeliti bilo koja zaštitna zadaća.
Isti relej ne briše razliku između funkcija
Različite funkcije mogu dijeliti dijelove upravljačkog sustava ako su ispunjeni odgovarajući zahtjevi. Nema smisla množiti opremu samo radi njezina množenja. Ipak, za svaku funkciju treba zasebno odrediti što je pokreće i čemu njezino djelovanje služi.
Kod svjetlosne zavjese provjerava se zaštita od opasnog kontakta. Kod zaustavljanja u nuždi provjerava se pravilna reakcija na razmatranu izvanrednu situaciju, a ona se ne svodi uvijek na mirovanje. Pritiskom gljivastog tipkala ne dokazujete da čovjek neće dosegnuti pokretni alat. Jednako tako, pravilno primijenjena svjetlosna zavjesa ne odgovara na sva pitanja o potrebnoj reakciji u nuždi.
Zajednički sklopnik može se opravdati. Jedno zajedničko „zadovoljava” ne može se kopirati na dvije različite sigurnosne zadaće.
2. „Operater će stići” nije zaštitna mjera stroja
Zamislimo mjesto za ručno posluživanje s dostupnim lančanim pogonom. Prepoznata je mogućnost zahvaćanja. U procjenu rizika upisane su zaštitne mjere: tipkalo za zaustavljanje u nuždi, oznake i osposobljavanje operatera. Nakon toga rizik je proglašen prihvatljivim.
Lanac je i dalje dostupan. Radnik pokraj njega obavlja iste poslove. Promijenila se boja ćelije u proračunskoj tablici. Zaštitna naprava nije stala u proračun, a refleks operatera upisan je besplatno.
Što je zapravo smanjilo rizik?
Sama ugradnja tipkala nije ograničila pristup pogonu. Nije smanjila učestalost rada u njegovoj blizini niti je mehanizmu oduzela sposobnost zahvaćanja. Osigurana je mogućnost pokretanja zaustavljanja u nuždi. Sada treba dokazati u kojim okolnostima ta intervencija može pomoći.
Tko će primijetiti opasnost? Po čemu će je prepoznati? Hoće li moći dosegnuti uređaj? Hoće li između prepoznavanja situacije i nastanka štete ostati dovoljno vremena za učinkovitu radnju? Odgovor „operater je osposobljen” rješava samo dio tih pitanja. Potvrđuje pripremljenost za određene postupke, ali ne dokazuje da će ih čovjek fizički moći izvršiti u razmatranoj situaciji.
Potpis na evidenciji osposobljavanja ne skraćuje zaustavni put stroja i ne produljuje vrijeme do zahvaćanja. Zaustavljanje u nuždi može poboljšati mogućnost izbjegavanja ili ograničavanja štete, pa nije bezvrijedno u procjeni rizika. No korist mora biti povezana s konkretnim slijedom događaja. Ne dodjeljuje se automatski zato što na stroju postoji crveno tipkalo.
Izmjereno je vrijeme od pritiska, ne od početka opasnosti
Tijekom ispitivanja osoba stoji uz uređaj, zna što će učiniti i sama pokreće zaustavljanje. Mjeri se vrijeme od aktiviranja uređaja do prestanka opasnog gibanja. To je potreban podatak, ali ne obuhvaća ono što se u stvarnoj situaciji mora dogoditi prije toga: uočavanje opasnosti, prepoznavanje potrebe za intervencijom i izvođenje radnje.
Za upravljački sustav određeno je vrijeme odziva. Za operatera se pretpostavilo da će stići. U stvarnom radu obje ruke mogu mu biti zauzete posluživanim predmetom. Može biti izvan dosega tipkala ili može trebati pomoć upravo zato što više nije sposoban sam pokrenuti intervenciju.
Ni pretpostavka da će reagirati druga osoba ne prolazi bez provjere. Ta osoba mora biti prisutna, vidjeti situaciju i imati mogućnost djelovanja. Ne pojavljuje se pokraj stroja samim upisivanjem „pomoć suradnika” u procjenu rizika.
Dostupnost uređaja zato se provjerava u odnosu na mjesta i poslove pri kojima intervencija može biti potrebna, a ne samo iz položaja osobe koja tijekom prijama udobno stoji pred upravljačkom pločom. Ispravan sustav možda neće dobiti naredbu na vrijeme. To nije kvar releja koji će otkriti dijagnostika, nego neprovjerena pretpostavka o sudjelovanju čovjeka.
„Postupati posebno oprezno.” Po mogućnosti cijelu smjenu
U uputama se pojavljuje zahtjev: „Operater mora biti posebno oprezan, neprekidno promatrati rad stroja i u slučaju opasnosti odmah upotrijebiti zaustavljanje u nuždi.” Rečenica pristaje gotovo svakom stroju. Upravo zato objašnjava vrlo malo.
Pretpostavimo da operater preuzima gotove proizvode, provjerava njihovu kvalitetu i odlaže ih u spremnik iza sebe. Istodobno se od njega traži neprekidno promatranje opasnog područja. Da bi odložio proizvod, mora se okrenuti. Ne zanemaruje upute i ne izmišlja vlastiti način rada. Obavlja posao koji je predvidio projektant — isti onaj koji je sigurnost vezao uz gledanje u suprotnom smjeru.
Radno mjesto planirano je za jednu osobu. Potrebna pažnja očito za dvije. Naredba „odmah zaustaviti” tu ne rješava problem, jer netko najprije mora primijetiti da je zaustavljanje potrebno. Ako se koncepcija zaštite oslanja na stalno promatranje, a predviđeni poslovi to promatranje prekidaju, projektne su pretpostavke međusobno proturječne.
Informacije za korisnika imaju svoje mjesto u smanjivanju rizika, ali ne zamjenjuju pravilno primijenjene konstrukcijske i tehničke zaštitne mjere. Isto vrijedi za zaustavljanje u nuždi: ono dopunjuje zaštitne mjere, ne prebacuje njihove zadaće na budnost operatera.
„Pazi, operateru” može biti upozorenje. Nije tehnička zaštitna mjera isporučena u obliku rečenice.
3. Zaustavljen stroj i dalje može ugrožavati čovjeka
U opisu funkcije piše: „Aktiviranjem zaustavljanja u nuždi zaustavljaju se pogoni i stroj prelazi u sigurno stanje.” Prvi dio može se provjeriti: pogoni više ne stvaraju opasno gibanje. Drugi zahtijeva odgovor na pitanje što, osim gibanja, ugrožava čovjeka i što se s tom opasnošću dogodilo.
Lako je iza riječi „zaustavljanje” dopisati „sigurno stanje”. U stvarnom stroju ta veza ne nastaje zarezom. Prestanak gibanja može prekinuti razvoj izvanredne situacije, ali čovjeka ostaviti pod pritiskom, ukliještenog ili bez mogućnosti izlaska. Stroj ne mora započeti novi ciklus da bi i dalje nanosio štetu.
Brzina je pala na nulu. Sila pritiska možda nije
Razmotrimo sustav valjaka u kojem pritisak jednog valjka stvaraju opruge. Ud je zahvaćen, aktiviran je E-STOP i vrtnja je zaustavljena. Daljnje uvlačenje je prekinuto, ali valjci ostaju pritisnuti. Pogon je izvršio naredbu. Opruge također djeluju točno prema projektu. Čovjek je i dalje stisnut.
To ne znači da je zaustavljanje bilo nepotrebno ili neučinkovito u prekidanju uvlačenja. Znači da nije riješilo cijelu situaciju. Prekid opasnog gibanja i omogućavanje oslobađanja dvije su različite zadaće koje se moraju međusobno uskladiti.
Ako je analizirano zahvaćanje, treba odrediti i način oslobađanja čovjeka. Ovisno o konstrukciji, možda će biti potrebno razmaknuti dijelove, otpustiti pritisak ili omogućiti pravilno projektirano povratno gibanje. Nijedna od tih radnji nije automatski prikladna za svaki stroj.
ISO 13850 ne svodi reakciju u nuždi na mirovanje
ISO 13850 dopušta da funkcija zaustavljanja u nuždi pokrene i druge funkcije, primjerice povratno ili ograničeno gibanje. Cilj je ograničiti mogućnost nastanka štete, a ne postići najveći mogući broj isključenih izlaza. Moraju se zaustaviti opasna gibanja i radnje. Iz toga ne proizlazi da je svako gibanje tijekom reakcije u nuždi nedopušteno.
Pravilno projektirano pomicanje može služiti zaštiti čovjeka. Ali riječ „pravilno” nije ukras. Kod povratnog gibanja treba utvrditi pomaže li ono u razmatranom uklještenju, može li produbiti ozljedu, nastaje li drugo mjesto zahvaćanja, što se događa s pritiskom te koji su raspon i način upravljanja potrebni.
Promjena predznaka zadane brzine još nije projekt funkcije oslobađanja, čak i ako u programu zauzima jedan redak. ISO 13850 navodi mogućnost takvih radnji, ali ne određuje sve detaljne zahtjeve njihove izvedbe. Samo pozivanje na normu ne dokazuje da je bilo koje povratno gibanje ili otvaranje mehanizma sigurno.
Zaustavljanje ne smije oduzeti mogućnost oslobađanja
Treba razlikovati dodatnu radnju uključenu u reakciju na E-STOP od zasebne funkcije za oslobađanje čovjeka nakon zaustavljanja. U prvom slučaju radnja je dio unaprijed projektirane reakcije u nuždi. U drugom zaustavljanje ne izvodi cijelo oslobađanje, ali ostavlja mogućnost njegove provedbe odgovarajućim sredstvima.
Ne mora svaki stroj nakon pritiska automatski razmaknuti dijelove ili pokrenuti povratno gibanje. ISO 13850 ipak zahtijeva da zaustavljanje u nuždi ne umanji učinkovitost drugih zaštitnih funkcija, uključujući oslobađanje ukliještenih osoba.
Objašnjenje „može se osloboditi, ali prvo treba vratiti normalan rad” ozbiljan je znak upozorenja. Funkcija oslobađanja mora omogućiti spašavanje čovjeka, a ne ponovno staviti na raspolaganje sva proizvodna gibanja uz nadu da će netko upotrijebiti samo pravo. Uvjete pokretanja, dostupna gibanja i njihova ograničenja treba odrediti u projektu.
Sigurno stanje ne nastaje zato što je tako nazvana varijabla u upravljačkom programu. Mora se osigurati na stvarnom stroju — i čovjeku koji se iz njega ne može osloboditi.
4. Zašto isključivanje svega može pogoršati situaciju
„Nakon pritiska gljivastog tipkala isključujemo sve izlaze.” Zapis je jednostavan. Program također. Tijekom prijama lako je provjeriti je li se sve ugasilo. No jedan izlaz može upravljati pogonom koji stvara opasnost, a drugi uređajem koji štiti od neke druge opasnosti. Isključivanje oba ne donosi dvostruku sigurnost.
ISO 13850 zahtijeva nadređenost funkcije zaustavljanja u nuždi, ali istodobno zabranjuje umanjivanje učinkovitosti drugih zaštitnih funkcija. Možda će trebati zadržati rad pomoćne opreme, primjerice elektromagnetskih prihvata ili kočnih uređaja. To nije proturječje. To je razlog da se prije zajedničkog prekida napajanja provjeri što je na njega spojeno.
Pogon treba zaustaviti. Teret se pritom ne smije ispustiti
Pretpostavimo da uređaj premješta čelični element elektromagnetskim prihvatom kojem je potrebno stalno napajanje. Zadržavanje tereta ovisi o radu prihvata, a nije predviđena neovisna zaštita od njegova otpuštanja. Projektant zajedničkim prekidom obuhvaća pogone gibanja i napajanje prihvata.
Nakon aktiviranja E-STOP-a pogoni se isključuju. Prihvat gubi sposobnost držanja tereta. Naredba je izvršena besprijekorno — zajedno s oduzimanjem potpore teretu. Problem nije u tipkalu koje nije reagiralo ni u zalijepljenom sklopniku. Oprema je učinila točno ono što je projektirano.
Pogreška je u pretpostavci da se svi potrošači mogu tretirati jednako zato što svi koriste električnu energiju. Ispravna zadaća glasi: zaustaviti opasno premještanje i sačuvati sigurno držanje tereta. Način izvedbe treba odabrati i provjeriti za konkretnu konstrukciju.
„Ali nakon E-STOP-a ne bi smjelo biti energije.” Gravitacija nije spojena preko našeg sklopnika. Neće se isključiti zajedno s njim.
I sustav gašenja može se uzorno isključiti
Drugi primjer je stroj sa sustavom gašenja kojem je za aktiviranje potrebno električno napajanje. Upravljanje gašenjem i izvršni element za ispuštanje sredstva za gašenje napajaju se iz kruga koji E-STOP prekida. Materijal se zapali, a operater aktivira zaustavljanje u nuždi.
Pogoni stanu, ali zapaljeni materijal i dalje predstavlja opasnost. Sustav gašenja više ne može izvršiti svoju zadaću jer mu je upravo oduzeto napajanje. Sustav je ispravan. Treba samo osigurati da u slučaju požara nitko prije njega ne upotrijebi zaustavljanje u nuždi. Takav uvjet ne smije postojati u projektu.
ISO 13850 izričito navodi gašenje požara kao primjer zaštitne funkcije na koju zaustavljanje u nuždi ne smije negativno utjecati. To ne znači da tijekom požara cijeli proces treba nastaviti bez promjene. Treba odrediti koje radnje prekinuti, koje izvore opasnosti odvojiti i kako sačuvati učinkovitost protupožarne zaštite.
Kategorija 0 ne znači „cijeli stroj bez napona”
ISO 13850 predviđa zaustavljanje u nuždi kategorije 0 ili 1, odabrano na temelju procjene rizika. Kod kategorije 0 napajanje pogonskih elemenata prekida se bez odgode. To ne znači da gibanje odmah prestaje; možda će biti potrebno dodatno kočenje. Kod kategorije 1 energija pogonskih elemenata ostaje dostupna tijekom kontroliranog zaustavljanja, a prekida se nakon postizanja mirovanja.
Kategorija opisuje način zaustavljanja. Nije naredba za isključivanje svakog uređaja koji se našao na istoj električnoj shemi. Odabir kategorije ne oslobađa projektanta provjere prihvata, kočnice, sustava gašenja ili drugog uređaja koji mora sačuvati zaštitnu ulogu.
Ne radi se o ostavljanju opasnih radnji aktivnima pod izgovorom očuvanja zaštite. Radi se o razdvajanju dviju zadaća: prekinuti ono što ugrožava čovjeka i ne onesposobiti ono što ga mora nastaviti štititi.
Isključili su sve. Toliko temeljito da su isključili i ono što je trebalo zaštititi čovjeka. To neće popraviti napomena „zaustavljanje u nuždi sukladno normi”.
5. Operater ne bi smio nagađati hoće li nakon pritiska biti gore
„Operater zna što treba isključiti i kojim redoslijedom.” To može biti opis pripreme linije za planirano zaustavljanje. Kao objašnjenje zaustavljanja u nuždi znači da je dio zadaće upravljačkog sustava prebačen na ljudsko pamćenje.
Čovjek treba prepoznati opasnost, prisjetiti se međuovisnosti uređaja i izvršiti pravilnu sekvencu. Po mogućnosti bez pogreške, jer je redoslijed navodno važan za sigurnost. Proizvodni ciklus potpuno je automatiziran, ali kod sigurnog zaustavljanja odjednom se vjeruje ručnom radu.
ISO 13850 zahtijeva da odluka o aktiviranju uređaja za zaustavljanje u nuždi ne zahtijeva razmatranje posljedica njegove uporabe. Čovjek treba prepoznati potrebu za intervencijom. Ne smije još procjenjivati hoće li pritisak na tipkalo pogoršati situaciju.
Jedna čovjekova radnja ne znači jednu radnju stroja
Funkcija se pokreće jednom radnjom. Nakon aktiviranja opasna gibanja i radnje moraju se zaustaviti na odgovarajući način, bez potrebe za daljnjom intervencijom. Norma dopušta da to zahtijeva unaprijed određenu sekvencu. Jedan pritisak može pokrenuti više koordiniranih radnji.
To ne znači da se sve mora isključiti istodobno, niti da je prihvatljivo prepustiti operateru da ostatak isključuje ručno. Ako sigurnost zahtijeva određeni redoslijed, treba ga definirati tijekom projektiranja. Isto vrijedi za radnje koje moraju prestati, funkcije koje trebaju ostati učinkovite i stanje koje treba postići.
Ne mora svaka kasnija spasilačka radnja biti automatizirana. Zahtjev za zaustavljanje bez daljnje intervencije odnosi se na opasne radnje stroja. Zasebna sredstva za oslobađanje mogu zahtijevati svjesno upravljanje. Jedno je upravljati predviđenom funkcijom oslobađanja, a sasvim drugo tek drugim tipkalom zaustavljati gibanje koje i dalje ugrožava osobu.
Svaki je izvođač zaustavio svoje. Dovođenje materijala traje
Razmotrimo liniju za obradu dugih profila. Obradni stroj i dodavač imaju odvojeno upravljanje. Uređaj za zaustavljanje u nuždi uz stroj zaustavlja alat, ali ne obuhvaća dodavač, koji nastavlja gurati profil u radno područje. U razmatranoj situaciji daljnje pomicanje materijala može prignječiti čovjeka.
Alat miruje. Materijal se i dalje kreće. Dobavljač objašnjava: „Dodavač ima svoje gljivasto tipkalo.” Ima ga. No čovjek je upravo upotrijebio uređaj na mjestu opasnosti i nije dobio potrebnu reakciju.
Granice isporuke jasno su podijeljene. Preostaje uvjeriti izvanrednu situaciju da ih također poštuje. U takvom sustavu treba analizirati međudjelovanje uređaja. Zaustavljanje mora obuhvatiti i dovođenje ako njegov nastavak održava ili povećava razmatranu opasnost.
Provjera da svaki stroj zasebno reagira na vlastito tipkalo ne dokazuje učinkovitost reakcije cijele linije. To ne znači da svako tipkalo mora zaustaviti cijelo postrojenje. Znači da se područje djelovanja ne određuje prema granici upravljačkog ormara ili tvrtke koja je napisala program.
„Koje gljivasto tipkalo?” mora se riješiti prije izvanredne situacije
Polazište norme ISO 13850 jest da uređaj za zaustavljanje u nuždi djeluje na cijeli stroj. Norma ipak dopušta podjelu na područja djelovanja, primjerice kada bi zaustavljanje svih povezanih strojeva stvorilo dodatne opasnosti ili nepotrebno utjecalo na proizvodnju.
Takva podjela zahtijeva analizu rasporeda strojeva, mogućnosti prepoznavanja opasnosti, procesnih posljedica i povezanih opasnosti. Područja se mogu preklapati. Aktiviranje zaustavljanja u jednom području ne smije povećati rizik u drugom niti onemogućiti tamošnje zaustavljanje u nuždi.
Čovjek također mora moći povezati uređaj s opasnošću i prepoznati njegovo područje djelovanja. ISO 13850 upućuje na lokaciju i piktograme te preporučuje izbjegavanje rješenja koja zahtijevaju čitanje uputa ili prethodno pamćenje podjele. Oznaka „S14” pomaže pronaći tipkalo na shemi, ali osobi uz stroj ne govori što će se zaustaviti.
Što čovjekova radnja treba biti jednostavnija, to se reakcija stroja mora preciznije odrediti unaprijed. Jednostavno sučelje nije zamjena za analizu, nego njezin rezultat. U izvanrednoj situaciji ne saziva se sastanak konstruktora, stručnjaka za automatizaciju i tehnologa. Taj je sastanak morao biti završen u projektu.
Operater ne bi smio prije pritiska računati posljedice projektnih odluka. Ako je za sigurnost važan redoslijed, taj redoslijed pripada funkciji, a ne ljudskoj improvizaciji.
6. Zapis „E-STOP radi” ne zamjenjuje procjenu zaštitnih mjera
„Provjerena su sva tipkala. Rezultat pozitivan.” Zapisnik sadrži oznake uređaja, datume i potpise. Nakon svakog pritiska stroj se zaustavio. Nedostaje samo podatak što je, osim prestanka gibanja, smatrano pravilnom reakcijom.
Tipkalo je provjereno prema broju sa sheme. Funkciji je prije toga trebalo postaviti zahtjeve.
Najprije kriterij, zatim pozitivan rezultat
Prije ispitivanja treba znati kakav se učinak mora postići. Koje radnje moraju prestati, u kojem vremenu, na kojem području i pod kojim uvjetima? Što mora ostati učinkovito? Koje ponašanje znači da zahtjevi nisu ispunjeni?
Bez tih kriterija lako je proglasiti ispravnim upravo ono što je zatečeno. Pogon je stao nakon nekoliko sekundi? Očito se tako trebao zaustaviti. Susjedni dio linije i dalje radi? Vjerojatno nije u području djelovanja. Dokumentacija ništa nije odredila, pa se rezultat nema s čime sukobiti.
Ako kriterij pišemo nakon ispitivanja, vrlo je jednostavno projektirati stroj koji uvijek prolazi: dovoljno je ne zahtijevati više od onoga što je upravo učinio.
| Područje | Što treba utvrditi? | Što zapisati ili navesti u dokumentaciji? |
|---|---|---|
| Izvanredna situacija | Za koju je postojeću ili nadolazeću situaciju potrebna intervencija? Tko je može pokrenuti? | Scenarij, radnje čovjeka, stanje stroja i mjesto dostupnog uređaja za zaustavljanje u nuždi. |
| Očekivani zaštitni učinak | Što aktiviranje funkcije mora promijeniti? Koje opasno djelovanje treba prekinuti ili ograničiti? | Zahtijevano stanje i uvjeti njegova postizanja te, prema potrebi, dodatne zaštitne radnje i sredstva za oslobađanje. |
| Reakcija stroja | Što se zaustavlja, kojim redoslijedom, u kojem vremenu i na kojem području? | Opis funkcije, kategorija zaustavljanja, sekvenca, vremenske granice i veze s ostalim uređajima. |
| Preostala zaštita | Što mora nastaviti djelovati? Stvara li reakcija novu opasnost ili pogoršava stanje u drugom području? | Zahtjevi za očuvane funkcije, obrazloženje rješenja i rezultat provjere njihova međudjelovanja. |
| Potvrda | Čime je dokazano da izvedba odgovara postavljenim zahtjevima? | Rezultati analiza, ispitivanja i mjerenja, uvjeti provedbe, identifikacija konfiguracije i obrada utvrđenih odstupanja. |
Ovo je prijedlog organizacije provjere, a ne obrazac iz ISO 13850 niti potpun plan validacije. Opseg analiza i ispitivanja mora se prilagoditi konkretnoj funkciji, stroju i primijenjenoj metodi procjene.
PL i SIL neće nadopuniti opis funkcije koji nedostaje
ISO 13850 zahtijeva da sigurnosni dijelovi upravljačkog sustava koji izvode zaustavljanje u nuždi zadovoljavaju odgovarajuće zahtjeve ISO 13849-1 i/ili IEC 62061. Navodi i najmanju razinu: PLr c ili SIL 1.
Najmanja razina ne znači da je automatski dovoljna za svaku primjenu. Potrebnu razinu treba odrediti za konkretnu funkciju, uzimajući u obzir njezinu svrhu i primjenjive posebne zahtjeve. Nije dovoljno prepisati PL e iz tehničkog lista releja. Ocjenjuje se izvedba cijele funkcije, ne samo jednog elementa.
Ni pravilan izračun cijelog sustava ne zamjenjuje validaciju. ISO 13849-1:2023 razlikuje provjeru postignutog PL-a od validacije, koja uključuje analize i ispitivanja. Traži i provjeru potpunosti te dosljednosti same specifikacije sigurnosne funkcije u odnosu na namjeravanu primjenu.
Drugim riječima, nije dovoljno dokazati da je programer vjerno izvršio pogrešno postavljenu zadaću. Treba provjeriti je li sama zadaća postavljena pravilno.
Rezultat se mora odnositi na izvedeni stroj
Provjera ne završava kada gibanje prestane. Funkcija mora biti učinkovita u svim predviđenim načinima rada, održavati stanje zaustavljanja i spriječiti da naredba za pokretanje ponovno aktivira zaustavljene radnje. Otpuštanje uređaja ne smije samo pokrenuti stroj. I ti uvjeti moraju biti obuhvaćeni provjerama.
Utvrđenim zahtjevima treba pridružiti dokaze koji potvrđuju djelovanje funkcije: odgovarajuću stavku zapisnika, rezultat mjerenja, analizu te verziju električne sheme i programa. Prilog nazvan „ispitivanje sigurnosti” ne znači mnogo ako nije jasno što je ispitano i prema kojem je kriteriju rezultat proglašen ispravnim.
Ispitivanja treba planirati bez izlaganja ljudi opasnosti. Ne simulira se zahvaćanje stvarne osobe kako bi se provjerila koncepcija oslobađanja. Odabiru se sigurne metode ispitivanja, analize i simulacije prikladne za konkretno rješenje.
Izostanak provjere nije pozitivan rezultat, čak ni kada obrazac nudi samo jedno polje za označavanje. Nakon potvrde reakcije u nuždi ostaje zasebno pitanje preventivne zaštite. Ispravno izveden E-STOP ne ispunjava zahtjev koji je trebala ispuniti zaštitna naprava koja nedostaje ili drukčije projektiran pristup opasnom području.
Ako zapisnik nije pitao što se dogodilo s opasnošću, pozitivan rezultat ne bi trebao nikoga posebno umiriti.
7. Zaštitna mjera nije obećanje da će se u nevolji imati što pritisnuti
Preventivna sigurnosna funkcija treba spriječiti određeni opasni događaj. Funkcija zaustavljanja u nuždi treba omogućiti pravilnu intervenciju kada izvanredna situacija već postoji ili neposredno prijeti. Obje zahtijevaju projektiranje i provjeru. Jedna ne izvršava zadaću druge samo zato što obje mogu zaustaviti pogon.
Projekt s tipkalom za nuždu nije potpun ako nema zaštite od predvidivog događaja. Tu prazninu neće ispuniti osposobljavanje operatera, visok PL upravljačkog sustava ni uspješno ispitivanje ograničeno na prestanak gibanja.
I sama intervencija zahtijeva više od odluke koje izlaze isključiti. Treba odrediti pravilan način zaustavljanja, sačuvati potrebne zaštitne funkcije i predvidjeti radnje nužne za stavljanje situacije pod nadzor. To je projektantski posao. Čovjek uz stroj ne bi ga smio dovršavati u trenutku opasnosti.
Ne radi se o podcjenjivanju E-STOP-a. Radi se o tome da mu se ne pripisuje zaštita koju ne pruža i da mu se ne oduzmu radnje koje učinkovita intervencija može zahtijevati.
Ako nakon cijele procjene možemo reći samo „stroj se zaustavio”, tada smo provjerili zaustavljanje. Sa sigurnošću čovjeka možda još ima posla.
Izvori i napomene
Analiza se temelji na normama ISO 13850:2015, ISO 12100:2010, ISO/TR 14121-2:2012 i ISO 13849-1:2023. Poveznice vode na stranice izdavača, a ne na neovlaštene preslike punih tekstova normi. Povezani članci Safety Software dodatno obrađuju pojedina pitanja, ali ne zamjenjuju normativne izvore.
[1] Svrha funkcije i njezina dopunska uloga. ISO 13850:2015, točke 3.1, 3.5, 3.8 i 4.1.1.1–4.1.1.3: svrha zaustavljanja u nuždi, pokretanje ljudskom radnjom, pojmovi sigurnosne funkcije i izvanredne situacije te zabrana zamjene drugih zaštitnih mjera. Razlikovanje preventivne zadaće i intervencije u nuždi ne isključuje zaustavljanje u nuždi iz sigurnosnih funkcija.
[2] Svjetlosna zavjesa i zaustavljanje prije opasnog kontakta. ISO 12100:2010, točke 6.3.2.5.1–6.3.2.5.2: uvjeti uporabe zaštitne opreme osjetljive na prisutnost, mogućnost zaustavljanja, položaj polja detekcije i veza s upravljačkim sustavom. Norma za određivanje položaja upućuje na ISO 13855. Primjer nije gotov proračun udaljenosti ni odabir svjetlosne zavjese.
[3] Mogućnost ljudske intervencije i granice uputa. ISO 12100:2010, točke 5.5.2.3.3 i 6.1, te ISO/TR 14121-2:2012, točka 8.4. Zaustavljanje u nuždi može ponajprije utjecati na mogućnost izbjegavanja ili ograničavanja štete, ali to nije osnova za automatsko snižavanje vrijednosti u grafu rizika. Dostupnost uređaja obrađena je u ISO 13850:2015, točke 4.3.1–4.3.2.
[4] Dodatne zaštitne radnje i oslobađanje čovjeka. ISO 13850:2015, područje primjene te točke 4.1.1.2 i 4.1.1.5: očuvanje učinkovitosti drugih zaštitnih funkcija i mogućnost pokretanja radnji koje nisu samo zaustavljanje. ISO 12100:2010, točke 6.3.5.2–6.3.5.3, razlikuje zaustavljanje u nuždi od sredstava za oslobađanje i spašavanje ukliještenih osoba.
[5] Očuvanje ostalih zaštitnih funkcija i kategorije zaustavljanja. ISO 13850:2015, točke 4.1.1.2, 4.1.1.4–4.1.1.5 i 4.1.3. Norma navodi oslobađanje osoba, gašenje požara te moguću potrebu očuvanja rada elektromagnetskih prihvata ili kočnica. Kategorije 0 i 1 ne znače obvezno odvajanje cijele opreme od svih izvora energije.
[6] Jedna ljudska radnja, sekvenca i područja djelovanja. ISO 13850:2015, točke 4.1.1.1, 4.1.1.5–4.1.1.6 i 4.1.2–4.1.2.1: pravilna reakcija bez daljnje intervencije potrebne za zaustavljanje, mogućnost unaprijed određene sekvence te uvjeti podjele na područja djelovanja.
[7] PL, SIL, održavanje zaustavljanja i ponovno postavljanje. ISO 13850:2015, točke 4.1.5.1, 4.1.1.2 i 4.1.4: primjenjivi zahtjevi ISO 13849-1 i/ili IEC 62061, najmanji PLr c ili SIL 1, dopušteno dijeljenje elemenata, dostupnost funkcije, održavanje zaustavljanja i ponovno postavljanje koje ne pokreće stroj. Za konkretnu primjenu treba uzeti u obzir i primjenjivu normu tipa C.
[8] Zahtjevi funkcije i validacija. ISO 13849-1:2023, poglavlje 8 te točke 10.1.1, 10.2 i 10.4.1: provjera postignutog PL-a, validacija analizom i ispitivanjem, provjera potpunosti i dosljednosti specifikacije te prethodno definiranje plana ispitivanja i očekivanih rezultata. Tablica u članku autorski je prijedlog organizacije podataka, a ne univerzalni plan validacije.
[9] Kontekst prava Europske unije. Direktiva 2006/42/EZ — tekst na engleskom jeziku u EUR-Lexu, Prilog I., točke 1.2.4.3–1.2.4.4, te Uredba (EU) 2023/1230 — tekst na engleskom jeziku u EUR-Lexu, Prilog III., točke 1.2.4.3–1.2.4.4. Obuhvaćeni su dopunska uloga zaustavljanja u nuždi, zabrana stvaranja dodatnog rizika, zaštitna gibanja i zaustavljanje povezane opreme čiji nastavak rada može biti opasan. Uredba se u cijelosti počinje primjenjivati 20. siječnja 2027.; prijelazna pravila i rokovi određeni su člancima 52. i 54. Samo navođenje norme nije tvrdnja o njezinoj usklađenosti s određenim pravnim aktom.
Granice primjene primjera. Opisana radna mjesta, sustavi napajanja, dokumentacijski zapisi i izjave modelni su primjeri. Ne opisuju utvrđenu nesreću i nisu upute za spašavanje na konkretnom stroju. Razmicanje, otpuštanje pritiska i povratno gibanje zahtijevaju odgovarajući projekt i procjenu posljedica. Članak obrađuje ulogu i logiku funkcije, a ne sve zahtjeve ISO 13850; područje primjene i iznimke određeni su u prvom poglavlju te norme.