Vészleállító funkció: megállt a gép, de a veszély?

„Veszély esetén a kezelő megnyomja a gombafejű vészleállítót.” Ezzel könnyű lezárni a védelmi megoldásokról szóló vitát. A nyomógomb a helyén van, az áramkör működik, a próba során a gép megállt. Már csak azt kell feltételezni, hogy az ember észreveszi a veszélyt, időben reagál, és elvégzi azt, amit korábban sem a konstrukció, sem a munkahely védelme nem biztosított.

A tervező nem számíthatja be a kezelő reflexét a hiányzó védelem helyett. A megelőző biztonsági funkció feladata egy meghatározott veszélyes esemény megakadályozása. A vészleállító funkció ezzel szemben lehetővé teszi a beavatkozást egy már fennálló vagy közelgő vészhelyzetben: megfékezi annak kialakulását, és korlátozza a következményeket. Segíthet elkerülni a sérülést, de ettől még nem válik annak a védelemnek a helyettesítőjévé, amelynek eleve meg kell akadályoznia a veszélyes eseményt.

Ez a különbség aközött, hogy valóban védelmet biztosítunk, vagy hatékony emberi beavatkozásban reménykedünk. A kockázatértékelésben ezt nem szabad elrejteni a kényelmes, közös címke mögé: „biztonsági rendszer alkalmazva”. Az ISO 13850 a vészleállítást kiegészítő védőintézkedésként határozza meg. Nem azért, mert jelentéktelen, hanem azért, mert a többi védelmet kell kiegészítenie, nem pedig annak hiányát igazolnia.

A következő félreértés rendszerint így hangzik: „Megnyomás után mindent lekapcsolunk.” Határozott mondat. Csakhogy a megállított gép nem feltétlenül biztonságos gép. Az ember beszorulva maradhat, a védelmét szolgáló berendezés kikapcsolása pedig még ronthat is a helyzeten. A mozdulatlanság önmagában nem bizonyítja, hogy a veszélyt sikerült uralni.

Ezért a vészleállító funkció feladatát nem lehet a lehető legtöbb berendezés leválasztására egyszerűsíteni. Meg kell határozni, mely veszélyes műveletek álljanak le, milyen sorrendben, és minek kell tovább működnie az ember védelmében. Egyes alkalmazásokban a megállításon túl további védelmi műveletekre is szükség lehet.

A kezelőnek egyetlen művelettel kell tudnia elindítani a reakciót. Nem mérlegelheti a nyomógomb előtt, hogy a kikapcsolás következménye rosszabb lesz-e a jelenlegi veszélynél. Ezt a tervezés során kell eldönteni. Minél egyszerűbb emberi beavatkozást várunk el, annál kevesebb helyet hagyhatunk a gép átgondolatlan reakcióinak.

Ha az átvételi próbán csak azt vizsgálják, megállt-e a hajtás, igazolható a megállás, miközben a legfontosabb kérdés megválaszolatlan marad: a gép valóban a megfelelő módon reagált a vészhelyzetre? Az „E-STOP működik” bejegyzés nem mondja meg, mit akadályoz meg a többi védelem, és azt sem, mi történik az emberrel a nyomógomb használata után.

A gép megállíthatósága nem bizonyítja a megfelelő védelmet. A mozgás megszűnése pedig nem mindig jelenti a veszély végét.

1. A megelőzés és a vészhelyzeti reakció nem ugyanannak a feladatnak két változata

„A fényfüggöny megállítja a gépet. A gombafejű vészleállító is. Minek ezt túlbonyolítani?” Ha a védelem hatékonyságát kizárólag az döntené el, hogy végül leáll-e a motor, a kérdés teljesen észszerű lenne. Összehasonlíthatnánk két kapcsolást, megtalálhatnánk bennük ugyanazt a kontaktort, és kijelenthetnénk, hogy a különbség főleg az árban van.

Csak azt hagynánk ki, hogy mikor áll meg a gép, és addig mi történhet az emberrel. A megelőző biztonsági funkció egy meghatározott veszélyes eseményt akadályoz meg. A vészleállító funkció egy fennálló vagy közelgő vészhelyzetet hivatott visszafordítani vagy korlátozni. Mindkettő megállíthat mozgást, de ettől még nem ugyanazt a problémát oldják meg.

A fényfüggöny nem arra való, hogy jelezze: valaki már elérte a szerszámot

Vegyünk egy munkahelyet, ahol az ember elérheti a mozgó szerszámot. Tegyük fel, hogy a hozzáférés fényfüggönnyel védhető: a veszélyes mozgás a ciklus alatt leállítható, a szerszám pedig az érzékelés megkerülésével nem érhető el.

A fényfüggöny érzékeli a kezet, és megállítást kezdeményez. A szerszámtól mért távolság meghatározásakor figyelembe kell venni a teljes rendszer reakcióidejét és a gép utánfutását. A veszélyes mozgásnak azelőtt kell megszűnnie, hogy az ember elérhetné. Ez a funkció feladata. Nem pusztán a kimenetek átkapcsolása, és nem a kezelőpanelen megjelenő „biztonsági leállítás” üzenet.

Ha a kéz még a gép megállása előtt eléri a mozgó szerszámot, a veszélyes érintkezés elleni védelem nem valósult meg. Akkor sem, ha a fényfüggöny hibátlanul működött, a vezérlő megkapta a jelet, a hajtás pedig végrehajtotta a parancsot. Minden készülék működhet pontosan a terv szerint. Lehet, hogy éppen a terv hibás.

A fényfüggöny ellenőrzése ezért nem merül ki a fénysugarak megszakításában. Igazolni kell, hogy az érzékelés és a megállítás valóban megakadályozza azt az eseményt, amely ellen a funkciót létrehozták.

Vészleállításkor az embernek kell elindítania a beavatkozást

A vészleállító eszköz nem veszi át a hozzáférés érzékelésének feladatát. Arra szolgál, hogy az ember elindíthassa az azonnali beavatkozást igénylő helyzetre tervezett reakciót. Ehhez nem kell előbb sérülésnek történnie. Az ISO 13850 közelgő vészhelyzetről is beszél. Valaki észlelheti az események veszélyes alakulását, és még a kár bekövetkezése előtt megnyomhatja a nyomógombot. Máskor akkor kell beavatkoznia, amikor a veszélyes hatás már fennáll.

Az első példában a védelmet a kéz érzékelése indítja el. A másodikban az embernek kell felismernie a beavatkozás szükségességét, majd kezdeményeznie azt. A különbséget nem tünteti el az a mondat, hogy „mindkettő megállít”.

Ha a példánkból eltávolítanánk a fényfüggönyt, és csak a nyomógombot hagynánk meg, többé semmi nem biztosítaná a kéz érzékelése utáni automatikus leállást. A probléma észlelése és a reakció elindítása az emberre maradna. Az érzékelést kivettük a tervből. Az indoklásba beírtuk, hogy a kezelő képzett. A megtakarítás valós, a védelmi megoldások egyenértékűsége viszont kitaláció.

Éppen ezért az ISO 13850 kiegészítő védőintézkedésnek nevezi a vészleállítást, és tiltja, hogy azt a műszaki védőintézkedések vagy más szükséges funkciók helyettesítőjeként kezeljük. A vészleállítás maga is biztonsággal összefüggő funkció. Ez azonban nem jelenti azt, hogy tetszőleges védelmi feladatot rá lehet osztani.

Ugyanaz a biztonsági relé nem tünteti el a különbséget

A funkciók megfelelő követelmények teljesülése esetén közös vezérlési elemeket használhatnak. Nem kell öncélúan sokszorozni a készülékeket. Külön-külön kell viszont meghatározni, mi indítsa el az egyes funkciókat, és milyen védelmi célt kell elérniük.

A fényfüggönynél a veszélyes érintkezés megakadályozását ellenőrizzük. A vészleállításnál a vizsgált vészhelyzetre adott megfelelő reakciót, amely nem mindig merül ki a mozdulatlanságban. A gombafejű vészleállító megnyomási próbája nem igazolja, hogy az ember nem érheti el a mozgó szerszámot. Ugyanígy a helyesen alkalmazott fényfüggöny sem válaszol meg minden kérdést a szükséges vészhelyzeti beavatkozásról.

A közös kontaktor használata indokolható. Két különböző feladathoz azonban nem elég ugyanazt a „megfelelt” bejegyzést átmásolni.

Azonos alkatrész nem jelent azonos védelmi feladatot. Először a veszélyes eseményt és a kívánt hatást kell meghatározni, csak utána a kapcsolást.

2. Az, hogy „a kezelő még időben odaér”, nem gépvédelmi megoldás

Tegyük fel, hogy egy kézi adagolású munkahelyen hozzáférhető lánchajtás maradt. A behúzás lehetőségét felismerték. A kockázatértékelésbe védőintézkedésként vészleállító nyomógomb, jelölés és kezelői oktatás került. Ezek figyelembevételével a kockázatot elfogadhatónak minősítették.

A lánc továbbra is hozzáférhető. A dolgozó továbbra is ugyanazokat a feladatokat végzi mellette. Csak a táblázat egyik cellájának színe változott meg. A burkolatra nem jutott pénz. A kezelő reflexét ingyen számolták el.

A védőintézkedéseknek a valós gépen kell kockázatot csökkenteniük, nem csak a dokumentumban.

Mi csökkentette valójában a kockázatot?

A nyomógomb felszerelése nem korlátozta a hajtáshoz való hozzáférést. Nem csökkentette a közelében végzett munka gyakoriságát, és nem szüntette meg a mechanizmus behúzási képességét. A vészleállítás kezdeményezésének lehetősége létrejött. Most még azt kell igazolni, milyen körülmények között segíthet ez a beavatkozás.

Ki veszi észre a veszélyt? Miből ismeri fel? Eléri-e a vészleállító eszközt? A helyzet felismerése és a sérülés bekövetkezése között marad-e idő a hatékony cselekvésre? A „kezelő oktatást kapott” válasz ezeknek csak egy részét rendezi. Igazolja, hogy felkészítették meghatározott műveletekre. Azt nem bizonyítja, hogy az adott helyzetben fizikailag képes lesz végrehajtani őket.

Az oktatási íven szereplő aláírás nem rövidíti le a gép utánfutását, és nem hosszabbítja meg a behúzásig hátralévő időt. A vészleállítás javíthatja a kár elkerülésének vagy korlátozásának lehetőségét, tehát nem értéktelen a kockázatértékelésben. Ezt az előnyt azonban egy konkrét eseménysorhoz kell kapcsolni. Nem jár automatikusan egy piros nyomógomb jelenlétéért.

Ha nem igazolták a hatékony beavatkozás lehetőségét, az „E-STOP és oktatás” bejegyzés önmagában nem támasztja alá a behúzás elleni megfelelő védelmet.

A nyomógomb megnyomásától mértek időt, nem a veszély kezdetétől

A próbát végző személy a készülék mellett áll, tudja, mit fog tenni, majd elindítja a megállítást. A mérés megmutatja a vészleállító eszköz működtetésétől a veszélyes mozgás megszűnéséig eltelt időt. Ez szükséges eredmény, de nem tartalmazza azt, aminek valós helyzetben előtte kell megtörténnie: a veszély észlelését, a beavatkozási igény felismerését és magát az emberi műveletet.

A vezérlőrendszer válaszidejét meghatározták. A kezelőről pedig feltételezték, hogy majd belefér az időbe.

A dolgozó mindkét kezével munkadarabot adagolhat. Lehet, hogy nincs a nyomógomb hatótávolságán belül, vagy éppen azért szorul beavatkozásra, mert már nem képes azt maga kezdeményezni. Az a feltételezés is ellenőrzést igényel, hogy majd valaki más segít. A második személynek jelen kell lennie, látnia kell a helyzetet, és képesnek kell lennie a cselekvésre. Nem jelenik meg varázsütésre a munkahely mellett attól, hogy a kockázatértékelésbe bekerült a „munkatárs segítsége” sor.

A vészleállító eszköz elérhetőségét ezért azokhoz a helyekhez és tevékenységekhez képest kell vizsgálni, ahol beavatkozás válhat szükségessé. Nem csak abból a kényelmes helyzetből, ahonnan az átvevő a kezelőpult előtt áll.

A hibátlan rendszer is későn kaphat parancsot. Ez nem olyan reléhiba, amelyet a diagnosztika felismer. Ez egy nem ellenőrzött feltételezés az ember részvételéről. A vezérlő reakcióidejének további rövidítése sem javítja ki, ha az alapvető probléma még a nyomógomb megnyomása előtt jelentkezik.

„Fokozott óvatossággal kell eljárni.” Lehetőleg az egész műszakban

A munkahelyen megjelenik az utasítás: „A kezelő fokozott óvatossággal járjon el, folyamatosan figyelje a gép működését, és veszély esetén azonnal használja a vészleállítást.” Ez a mondat szinte bármelyik géphez illik. Éppen ezért olyan keveset magyaráz.

Tegyük fel, hogy a kezelőnek át kell vennie a készterméket, ellenőriznie kell a minőségét, majd a munkahely mögötti tárolóba kell helyeznie. Eközben az utasítás a veszélyes tér „megszakítás nélküli megfigyelését” követeli meg. A termék lerakásához az embernek meg kell fordulnia. Nem hagyja figyelmen kívül az utasítást, nem telefonál, és nem talál ki saját munkamódszert. Pontosan a tervező által előírt feladatot végzi. Ugyanaz a tervező tette függővé a biztonságot attól, hogy közben az ellenkező irányba nézzen.

A kezelést egy emberre tervezték. A szükséges figyelmet láthatóan kettőre.

Ebben a helyzetben az „azonnal állítsa le” utasítás nem oldja meg a problémát. Valakinek előbb észre kell vennie, hogy megállításra van szükség. Ha a védelmi koncepció folyamatos megfigyelésre épül, miközben az előírt feladatok megszakítják ezt a megfigyelést, a kiindulási feltételek ellentmondanak egymásnak. Az „óvatosság” elé írt „fokozott” szó nem szünteti meg ezt az ellentmondást. Csak növeli a kezelővel szembeni elvárást, anélkül hogy javítaná a teljesítés feltételeit.

Nem az a cél, hogy minden figyelmeztetés eltűnjön a használati utasításból. Az a cél, hogy a figyelmeztetés ne végezze el azt a munkát, amely a védelem tervezésekor elmaradt. A felhasználói tájékoztatásnak megvan a helye a kockázatcsökkentésben, de nem helyettesíti a megfelelő konstrukciós és műszaki védőintézkedéseket.

Ugyanez igaz a vészleállító funkcióra: kiegészíti a védelmet, nem pedig az ember éberségére ruházza át annak feladatát. A védelmet akkor is meg kell vizsgálni, amikor a kezelő szabályosan végzi azt a munkát, amely miatt elfordítja a figyelmét a géptől. Nem a baleset után kell megkérdezni, miért nem nézett oda.

„Figyelj, kezelő!” lehet figyelmeztetés. Nem mondat formájában leszállított műszaki védelem.

Az oktatás felkészítheti az embert a beavatkozásra. Nem ad neki hosszabb reakcióidőt, szabad kezet vagy elérhető nyomógombot.

3. A megállított gép továbbra is veszélyeztetheti az embert

A funkció leírásában ez áll: „A vészleállítás működtetése után a hajtások megállnak, és a gép biztonságos állapotba kerül.” Az első rész ellenőrizhető: a hajtások már nem idéznek elő veszélyes mozgást. A másodikhoz meg kell határozni, hogy a mozgáson kívül mi veszélyezteti az embert, és mi történt ezzel a veszéllyel.

A „biztonságos állapot” kifejezést könnyű a „megállítás” után írni. A gép konstrukciójában azonban nem egy vessző hozza létre ezt az összefüggést.

A mozgás megszűnése megállíthatja a vészhelyzet romlását, miközben az ember nyomás alatt, beszorulva vagy menekülési lehetőség nélkül marad. A gépnek nem kell új ciklust indítania ahhoz, hogy továbbra is sérülést okozzon.

A sebesség nullára csökkent. A szorítóerő ettől még megmaradhatott

Vizsgáljunk egy hengerpárt, amelyben az egyik henger leszorítását rugók biztosítják. Bekövetkezik a vészhelyzet: egy végtagot behúznak, működtetik az E-STOP eszközt, a forgás megáll. A további behúzás megszűnt, a hengerek azonban továbbra is összeszorulnak.

A hajtás végrehajtotta a parancsot. A rugók is pontosan a terv szerint működnek. Az ember még mindig szorítás alatt van.

Ez nem azt jelenti, hogy a megállítás felesleges volt, vagy nem szakította meg hatékonyan a behúzást. Azt jelenti, hogy nem oldotta meg a teljes vészhelyzetet. A veszélyes mozgás megszakítása és az ember kiszabadításának lehetővé tétele két külön feladat, amelyeket össze kell hangolni.

Ha az elemzésben szerepel a behúzás, azt is meg kell határozni, hogyan szabadítható ki az ember. A konstrukciótól függően szükség lehet az elemek szétnyitására, a leszorítás oldására vagy megfelelően megtervezett visszafelé irányuló mozgásra. Nem mindegyik megoldás alkalmas minden géphez. A probléma nem tekinthető megoldottnak pusztán azért, mert ami szorít, már nem mozog.

Az ISO 13850 nem szűkíti a vészhelyzeti reakciót mozdulatlanságra

A szabvány szerint a vészleállító funkció a megállításon kívül más funkciókat is kezdeményezhet, például a mozgás megfordítását vagy korlátozását. A cél a károkozás lehetőségének csökkentése, nem pedig a kikapcsolt kimenetek számának maximalizálása.

A veszélyes mozgásokat és műveleteket kell megállítani. Ebből nem következik, hogy a vészhelyzeti reakció részeként végrehajtott minden mozgás eleve tilos. Egy megfelelően megtervezett elmozdulás éppen az ember védelmét szolgálhatja.

A „megfelelően” itt nem díszítő jelző. Visszafelé irányuló mozgás tervezésekor meg kell vizsgálni, hogy az valóban segít-e az adott beszorulásnál. Nem súlyosbítja-e a sérülést? Nem hoz-e létre új behúzási helyet? Mi történik közben a leszorítóerővel? Milyen mozgástartomány és milyen vezérlési mód szükséges?

Az előírt sebesség előjelének megfordítása még nem mentési funkció terve. Akkor sem, ha a programban csak egy sort igényel.

Az ISO 13850 megengedi az ilyen műveletek alkalmazását, de megvalósításuk részletes követelményeit nem határozza meg. A szabvány puszta megjelölése ezért nem igazolja, hogy bármilyen irányváltás vagy mechanikus nyitás biztonságos. A konkrét megoldást külön értékelni kell.

A megállítás nem akadályozhatja meg a kiszabadítást

Különbséget kell tenni az E-STOP reakciójába beépített további művelet és a megállítás után az ember kiszabadítására szolgáló önálló funkció között. Az első esetben a művelet a megtervezett vészhelyzeti reakció része. A másodikban a megállítás nem végzi el automatikusan a teljes kiszabadítást, de megfelelő eszközökkel lehetővé teszi azt.

Nem kell minden gépnek automatikusan szétnyitnia az elemeket vagy ellenkező irányú mozgást indítania a nyomógomb megnyomásakor. Az ISO 13850 viszont megköveteli, hogy a vészleállítás ne befolyásolja hátrányosan a többi védelmi funkciót. Kifejezetten említi a beszorult személyek kiszabadítását is.

Ez különösen fontos annál a magyarázatnál, hogy „ki lehet szabadítani, csak előbb vissza kell állítani a normál üzemet”. A kiszabadító funkciónak az ember mentését kell lehetővé tennie, nem az összes üzemi mozgást újra hozzáférhetővé tenni abban a reményben, hogy valaki majd csak a megfelelőt használja.

A funkció indítási feltételeit, az elérhető mozgásokat és azok korlátozását a tervben kell meghatározni. Nem akkor, amikor valakinek már ténylegesen segítségre van szüksége.

A megállítás után tehát nemcsak azt kell tudni megmondani, hogy „mi áll már?”, hanem azt is: milyen veszélyes hatás maradt fenn, és mit terveztünk annak uralására? A biztonságos állapot nem attól jön létre, hogy így neveztünk el egy változót a vezérlőprogramban. A gépen is biztosítani kell, annak az embernek is, aki nem tud magától kiszabadulni.

A nulla sebesség csak a mozgás állapotát írja le. Nem mond semmit a nyomásról, a tárolt energiáról, a beszorulásról vagy a kiszabadítás lehetőségéről.

4. Miért ronthat a helyzeten, ha mindent lekapcsolunk?

„A gombafejű vészleállító megnyomásakor minden kimenetet kikapcsolunk.” Egyszerű leírás. A program is egyszerű. Átvételkor könnyű ellenőrizni, hogy minden kialudt-e.

Csakhogy az egyik kimenet veszélyt okozó hajtást működtethet, a másik pedig olyan berendezést, amely éppen egy másik veszély ellen véd. A kettő együttes kikapcsolása nem jelent kétszeres biztonságot.

Az ISO 13850 megköveteli a vészleállító funkció elsőbbségét, ugyanakkor tiltja a többi védelmi funkció hatékonyságának rontását. Azt is jelzi, hogy szükség lehet segédberendezések, például elektromágneses megfogók vagy fékezőberendezések működésének fenntartására. Ez nem ellentmondás a szabványban. Ez figyelmeztetés arra, hogy a közös energiaelvétel megrajzolása előtt meg kell nézni, pontosan mit táplálunk róla.

A hajtást meg kell állítani. A terhet közben nem szabad ledobni

Tegyük fel, hogy egy berendezés acélelemet mozgat folyamatos tápellátást igénylő elektromágneses megfogóval. A teher megtartása a megfogó működésétől függ, és nincs tőle független védelem a teher elengedése ellen.

A tervező közös leválasztásba foglalja a mozgató hajtásokat és a megfogó tápellátását. Az E-STOP működtetése után a hajtások kikapcsolnak. A megfogó elveszíti a teher megtartásának képességét. A parancs hibátlanul teljesült. Beleértve azt is, hogy megszüntette a teher alátámasztását.

Itt nem egy működésképtelen nyomógombbal vagy beragadt kontaktorral van dolgunk. A készülék pontosan azt tette, amire tervezték. A hiba az a feltételezés, hogy minden villamos fogyasztó azonos módon kezelhető csak azért, mert mindegyik villamos energiát használ.

A helyes feladat így hangzik: a veszélyes mozgatást megállítani, a terhet pedig biztonságosan megtartani. A megvalósítás módját az adott konstrukcióhoz kell kiválasztani és ellenőrizni. Ebből nem következik olyan általános előírás, hogy egy meghatározott áramkört mindig feszültség alatt kell hagyni. Az következik belőle, hogy a megtartás hatékonyságát fenn kell tartani.

„De E-STOP után nem maradhat energia a gépben.” A gravitációt nem a kontaktorunkon keresztül kötötték be. Nem is fog vele együtt kikapcsolni.

A tűzoltó rendszer is példásan kikapcsolható

Második példa: a gép tűzoltó rendszerének működtetése villamos energiát igényel. Tegyük fel, hogy a tűzoltás vezérlését és az oltóanyag kijuttatását indító elemet az E-STOP által lekapcsolt áramkörről táplálják.

Az anyag meggyullad. A kezelő működteti a vészleállítást. A hajtások leállnak, de az égő anyag továbbra is veszélyt jelent. A tűzoltó rendszer már nem képes elvégezni a feladatát, mert éppen most vették el a tápellátását.

A tűzoltó rendszer működőképes. Csak arra kell ügyelni, hogy vészhelyzetben senki ne használja előbb a vészleállítást. Ilyen feltételnek nem lehet helye a tervben.

Az ISO 13850 kifejezetten a tűzoltást hozza példaként olyan védelmi funkcióra, amelynek hatékonyságát a vészleállítás nem ronthatja. Ez nem azt jelenti, hogy tűz esetén az egész folyamatot változatlanul kell hagyni. Meg kell határozni a megfelelő reakciót: mely műveleteket kell megszakítani, milyen veszélyforrásokat kell leválasztani, és hogyan marad működőképes a tűzvédelem.

A „kapcsolj ki mindent” nem oldja meg ezeket a kérdéseket. Egyetlen paranccsal kikerüli őket.

A 0. kategória nem azt jelenti, hogy az egész gép azonnal feszültségmentes

Az ISO 13850 a kockázatértékelés alapján kiválasztott 0. vagy 1. leállítási kategóriát engedi meg vészleállításhoz. A 0. kategóriánál a hajtóelemek energiaellátását haladéktalanul megszüntetik. Ez nem feltétlenül jelenti a mozgás azonnali megszűnését: a szabvány szerint további fékezésre is szükség lehet.

Az 1. kategóriánál a hajtóelemek energiaellátása a megállítás alatt rendelkezésre áll, majd a megállás elérése után megszűnik az energia betáplálása.

A kategória a megállítás módját írja le. Nem ad parancsot minden olyan berendezés kikapcsolására, amely ugyanazon a rajzon szerepel. A kategória kiválasztása tehát nem mentesít az elektromágneses megfogó, a fék vagy a tűzoltó rendszer vizsgálata alól. A kontaktor elengedési ideje önmagában azt sem dönti el, hogy a veszélyes mozgás megfelelően szűnt-e meg, és a leállítás létrehozott-e új veszélyt.

Nem arról van szó, hogy a „védelem fenntartására” hivatkozva veszélyes műveleteket hagyjunk aktív állapotban. Két feladatot kell szétválasztani: megállítani azt, ami veszélyeztet, és nem hatástalanítani azt, aminek továbbra is védenie kell.

Mindent kikapcsoltak. Olyan alaposan, hogy azt is, ami az embert védte volna. Ezt nem javítja ki a „szabvány szerinti vészleállítás” felirat.

Az energiaelvétel nem önálló biztonsági cél. A cél a veszélyes hatások megszüntetése úgy, hogy közben a szükséges védelem működőképes maradjon.

5. A kezelőnek nem szabad találgatnia, hogy a megnyomás után rosszabb lesz-e

„A kezelő tudja, mit milyen sorrendben kell kikapcsolni.” Ez egy tervezett leállás előkészítésének elfogadható leírása lehet. A vészleállítás magyarázataként viszont azt jelenti, hogy a vezérlőrendszer feladatának egy részét az ember emlékezetére bízták.

Fel kell ismernie a veszélyt, fel kell idéznie a berendezések közötti függőségeket, majd a helyes sorrendben kell cselekednie. Lehetőleg hiba nélkül, mert a sorrend állítólag biztonsági szempontból fontos. A teljes gyártási ciklust automatizálták. A biztonságos megállításnál mégis a kézi munkára szavaztak.

Az ISO 13850 előírja, hogy a vészleállító eszköz működtetéséről szóló döntés ne igényelje a használat következményeinek mérlegelését. Az embernek a beavatkozás szükségességét kell felismernie. Nem az ő feladata eldönteni, hogy a nyomógomb megnyomása ront-e a helyzeten.

Egy emberi művelet nem jelent egyetlen gépi műveletet

A vészleállító funkciót egyetlen emberi művelettel kell elindítani. Ezután a veszélyes mozgásoknak és műveleteknek megfelelő módon, további beavatkozás nélkül kell megállniuk. A szabvány szerint ehhez előre meghatározott sorrend is szükséges lehet.

Egyetlen nyomás tehát több, megfelelően összehangolt műveletet indíthat el. Ez nem jelenti, hogy mindent egyszerre kell kikapcsolni. Azt sem jelenti, hogy a kezelő majd kézzel kikapcsolja a maradékot.

Ha a biztonság meghatározott sorrendet kíván, azt a tervezés során kell rögzíteni. Ugyanígy azt is, mely műveleteknek kell megszűnniük, minek kell hatásosnak maradnia, és milyen állapotot kell elérni. A „szekvenciális megállítás” bejegyzés önmagában még egyik kérdésre sem válaszol.

Nem kell minden későbbi mentési műveletet automatizálni. A további beavatkozás nélküli megállítás követelménye a gép veszélyes műveleteire vonatkozik. Az ember kiszabadítására szolgáló külön eszközök a tervezett megoldás szerint tudatos kezelést igényelhetnek. Más dolog egy kiszabadító funkciót kezelni, és más dolog egy második nyomógombbal végre megállítani azt a mozgást, amely továbbra is veszélyezteti a segítségre szoruló személyt.

Minden szállító megállította a saját gépét. Az adagolás folytatódik

Vegyünk egy hosszú profilokat megmunkáló mintasort. A megmunkálógép és az adagoló külön vezérléssel rendelkezik. A gép melletti vészleállító eszköz megállítja a szerszámot, de nem állítja le az adagolót, amely továbbra is betolja a profilt a munkatérbe.

Tegyük fel, hogy az anyag további előtolása ebben a helyzetben az ember összenyomásával fenyeget. A szerszám már áll. Az anyag tovább mozog.

A szállító magyarázata: „Az adagolónak saját gombafejű vészleállítója van.” Valóban van. Csakhogy az ember a veszély helyén lévő eszközt működtette, és mégsem kapta meg a szükséges reakciót. A szállítási határok világosak. Már csak azt kell elérni, hogy a vészhelyzet is tiszteletben tartsa őket.

Az elemzésnek ki kell terjednie a berendezések együttműködésére. Ha az adagolás folytatása fenntartja a vizsgált veszélyt, a megállításnak arra is ki kell terjednie. Annak ellenőrzése, hogy minden gép külön-külön reagál a saját nyomógombjára, nem bizonyítja a teljes gépsor reakciójának hatékonyságát.

Ebből nem következik, hogy minden nyomógombnak az egész üzemet le kell állítania. Az viszont igen, hogy a hatásterületet nem a kapcsolószekrény széle vagy a programot író vállalkozás cégneve határozza meg.

A „melyik gombafejű vészleállítót?” kérdést a vészhelyzet előtt kell eldönteni

Az ISO 13850 kiindulópontja az, hogy a vészleállító eszköz a teljes gépre hasson. A szabvány ugyanakkor megengedi a hatásterületekre osztást, például akkor, ha minden összekapcsolt gép megállítása további veszélyt okozna, vagy szükségtelenül érintené a termelést.

Az ilyen felosztás megköveteli a gépek elrendezésének elemzését, a veszély felismerhetőségének vizsgálatát, valamint a technológiai következmények és a kapcsolódó veszélyek értékelését. A hatásterületek át is fedhetik egymást. Az egyik terület megállítása nem növelheti a kockázatot egy másik területen, és nem akadályozhatja meg az ottani vészleállítás működtetését.

A szükségtelen állásidő elkerülése megengedett. A veszélyes adagolás működésben hagyása ettől még nem válik termelésoptimalizálássá.

Az embernek össze kell tudnia kapcsolni a vészleállító eszközt a veszéllyel, és fel kell ismernie annak hatásterületét. A szabvány lehetővé teszi az elhelyezés és a piktogramok használatát, miközben azt javasolja, hogy ne legyen szükség utasítás olvasására vagy a felosztás előzetes bemagolására.

Az „S14” jelölés segít megtalálni a nyomógombot a kapcsolási rajzon. A gép mellett álló embernek azonban nem magyarázza el, mely berendezések állnak majd meg. A villamos dokumentációt íróasztalnál lehet olvasni. Vészhelyzeti beavatkozáskor jobb, ha a projektnek ez a része már elkészült.

Minél egyszerűbb emberi műveletet várunk el, annál pontosabban kell előre meghatározni a gép reakcióját. Az egyszerű kezelőfelület nem helyettesíti az elemzést. Annak eredménye kell legyen.

Vészhelyzetben nem hívunk össze tervezői, automatizálási és technológiai értekezletet. Ezeknek az egyeztetéseknek már a tervben szerepelniük kell.

A nyomógomb legyen egyszerű. A mögötte álló mérnöki döntés nem lehet leegyszerűsített.

6. Az „E-STOP működik” bejegyzés nem helyettesíti a védelem értékelését

„Minden nyomógomb ellenőrizve. Eredmény: megfelelő.” A jegyzőkönyvben szerepelnek az eszközazonosítók, a dátumok és az aláírások. Minden megnyomás után megállt a gép. Csak az nincs leírva, mit tekintettek helyes reakciónak azon kívül, hogy már semmi nem mozgott.

A nyomógombot a rajzi azonosítója szerint ellenőrizték. Magával a funkcióval szemben még követelményeket is kellett volna támasztani.

Először a kritérium, utána a megfelelő eredmény

A próba előtt tudni kell, milyen hatást várunk. Mely műveleteknek kell megszűnniük, mennyi idő alatt, milyen területen és milyen feltételek mellett? Minek kell hatásosnak maradnia? Milyen viselkedés jelenti a követelmények nem teljesülését?

Ezek nélkül könnyű pontosan azt megfelelőnek minősíteni, amit éppen sikerült megfigyelni. A hajtás néhány másodperc után állt meg? Biztosan így kellett megállnia. A szomszédos szakasz tovább működik? Akkor bizonyára nem tartozik a hatásterülethez. A dokumentáció nem döntött el semmit, így az eredmény semmivel sem kerülhet ellentmondásba.

Ha a kritériumot a próba után írjuk hozzá, nagyon könnyű olyan gépet tervezni, amely mindig átmegy a vizsgálaton. Csak nem szabad többet követelni annál, amit éppen végrehajtott.

A gyakorlati ellenőrzés szempontjai például így rendezhetők:

Ez az ellenőrzés rendszerezésére szolgáló javaslat, nem az ISO 13850 űrlapja, és nem teljes validálási terv. Az elemzések és vizsgálatok terjedelmét az adott funkcióhoz, géphez és alkalmazott értékelési módszerhez kell igazítani.

A PL és a SIL nem pótolja a hiányzó funkcióleírást

Az ISO 13850 előírja, hogy a vészleállítást megvalósító biztonsággal összefüggő vezérlési részek teljesítsék az ISO 13849-1 és/vagy IEC 62061 megfelelő követelményeit. Minimumként PLr c vagy SIL 1 szerepel.

A minimum azonban nem jelenti azt, hogy ez a szint minden alkalmazásban automatikusan elegendő. A szükséges szintet az adott funkcióra, annak céljára és az alkalmazandó részletes követelményekre tekintettel kell meghatározni.

Nem elég a biztonsági relé adatlapjáról átmásolni a PL e értéket. A teljes funkció megvalósítását kell értékelni, nem csak egyik elemét. Még a teljes rendszer helyes számítása sem helyettesíti a validálást.

Az ISO 13849-1:2023 elkülöníti az elért PL ellenőrzését az elemzést és vizsgálatokat tartalmazó validálástól. Emellett megköveteli a biztonsági funkció specifikációjának teljességi és következetességi vizsgálatát a tervezett alkalmazáshoz képest.

Ez lényeges. A szabvány nem azt kéri, hogy gondolkodás nélkül ellenőrizzük, vajon a programozó hűen hajtotta-e végre a rosszul meghatározott feladatot. Azt is meg kell vizsgálni, hogy helyesen határozták-e meg magát a feladatot.

Az eredménynek a ténylegesen megépített gépre kell vonatkoznia

Az ellenőrzés nem ér véget a mozgás megszűnésekor. A funkciónak minden üzemmódban hatásosnak kell lennie, fenn kell tartania a megállított állapotot, és nem engedheti, hogy egy indítási jel újra elindítsa a leállított műveleteket. A vészleállító eszköz reteszelésének feloldása önmagában nem indíthatja újra a gépet. Ezeknek a feltételeknek is meg kell jelenniük a vizsgálatokban.

A megállapításokhoz érdemes hozzárendelni a funkció működését igazoló bizonyítékokat: a jegyzőkönyv megfelelő pontját, a mérési eredményt, az elemzést, valamint a kapcsolási rajz és a program verzióját.

Nem elég egy „biztonsági teszt” nevű melléklet, ha nem derül ki, mire vonatkozott, és milyen kritérium alapján minősítették az eredményt megfelelőnek.

A próbákat az emberek veszélyeztetése nélkül kell megtervezni. Nem idézünk elő valódi behúzást ember részvételével azért, hogy kipróbáljuk a kiszabadítási koncepciót. A vizsgált megoldáshoz megfelelő, biztonságos elemzési, vizsgálati és szimulációs módszereket kell választani.

Az ellenőrzés hiánya nem megfelelő eredmény. Akkor sem, ha az űrlapon csak egyetlen kipipálható mező van.

A vészhelyzeti reakció igazolása után továbbra is külön kérdés marad a megelőző védelem. A helyesen megvalósított E-STOP nem teljesíti azt a követelményt, amelyet egy hiányzó burkolatnak vagy másképp kialakított hozzáférésnek kellett volna teljesítenie.

Ha a jegyzőkönyv nem kérdez rá arra, mi történt a veszéllyel, a megfelelő eredmény senkit ne nyugtasson meg különösebben.

A vizsgálat csak akkor ad érdemi eredményt, ha előre meghatároztuk, milyen vészhelyzetre, milyen hatásterületen és milyen védelmi céllal kell reagálnia a gépnek.

7. A védelem nem ígéret arra, hogy baj esetén majd lesz mit megnyomni

A megelőző biztonsági funkció egy meghatározott veszélyes eseményt akadályoz meg. A vészleállító funkció megfelelő beavatkozást tesz lehetővé, amikor a vészhelyzet már fennáll vagy közeleg. Mindkettőt meg kell tervezni és ellenőrizni. Egyik sem végzi el a másik feladatát pusztán azért, mert mindkettő megállíthatja a hajtást.

A vészleállító nyomógombbal felszerelt terv nem válik teljessé, ha hiányzik belőle az előrelátható veszélyes esemény elleni védelem. Ezt nem pótolja a kezelő oktatása, a vezérlőrendszer magas PL értéke vagy a kizárólag a mozgás megszűnésére korlátozott próba megfelelő eredménye.

Maga a beavatkozás is többet igényel annál, hogy eldöntsük, mely kimeneteket kapcsoljuk ki. Meg kell határozni a helyes megállítási módot, fenn kell tartani a szükséges védelmet, és meg kell tervezni a helyzet uralásához szükséges további műveleteket. Ez tervezői munka. Nem az embernek kell befejeznie a gép mellett, a veszély pillanatában.

Nem az E-STOP jelentőségét kell kisebbíteni. Azt kell elkerülni, hogy olyan védelmet tulajdonítsunk neki, amelyet nem biztosít, vagy megfosszuk azoktól a műveletektől, amelyekre a hatékony beavatkozáshoz szükség lehet.

A vészleállító funkció feladata a veszélyhelyzet uralásának segítése. Nem igazolja annak a védelemnek a hiányát, amelynek a veszélyhelyzet kialakulását kellett volna megelőznie.

Ha a teljes értékelés után csak annyit tudunk mondani, hogy „a gép megállt”, akkor a megállást ellenőriztük. Az ember biztonságával még lehet munkánk.

A jó vészleállítás nem piros nyomógombbal kezdődik, hanem pontos veszélyelemzéssel. És nem a kontaktor elengedésével ér véget, hanem a megfelelő védelmi hatás igazolásával.

Források és megjegyzések

A funkció elemzésének alapja a PN-EN ISO 13850:2016-03, vagyis az EN ISO 13850:2015 és az ISO 13850:2015 lengyel nemzeti bevezetése. Az alábbi hivatkozások azokat a konkrét előírásokat jelölik, amelyekre a cikk támaszkodik. A szabványhivatkozások a kiadó angol nyelvű adatlapjára vezetnek, nem a teljes szabványszöveg nyilvános másolatára.

[1] A funkció célja és kiegészítő szerepe. ISO 13850:2015, 3.1, 3.5, 3.8 és 4.1.1.1–4.1.1.3 pont: a vészleállítás célja, ember általi kezdeményezése, a biztonsági funkció és a vészhelyzet fogalma, valamint a többi védelem helyettesítésének tilalma. A cikkben alkalmazott megkülönböztetés az adott funkció megelőző feladata és a vészhelyzeti beavatkozás között áll fenn; nem zárja ki a vészleállítást a biztonsággal összefüggő funkciók köréből.

[2] Fényfüggöny és megállítás a veszélyes érintkezés előtt. ISO 12100:2010, 6.3.2.5.1–6.3.2.5.2 pont: az érzékelő védőberendezések alkalmazási feltételei, a megállíthatóság, az érzékelési mező elhelyezése és a vezérléssel való kapcsolat. A szabvány az elhelyezés kérdésében az ISO 13855 szabványra hivatkozik. A példa nem távolságszámítás és nem kész fényfüggöny-kiválasztás.

[3] Az emberi beavatkozás lehetősége és az utasítás korlátai. ISO 12100:2010, 5.5.2.3.3 és 6.1 pont: a kár elkerülésének vagy korlátozásának lehetőségét befolyásoló tényezők, valamint annak tilalma, hogy a felhasználói tájékoztatás megfelelő védőintézkedéseket helyettesítsen. Az ISO/TR 14121-2:2012 8.4 pontja a vészleállítást olyan intézkedés példájaként említi, amely elsősorban a kár elkerülésének vagy korlátozásának lehetőségére hat. Ez műszaki jelentésben szereplő útmutatás, nem alap a kockázati gráf értékeinek automatikus csökkentésére. A vészleállító eszközök hozzáférhetősége: ISO 13850:2015, 4.3.1–4.3.2 pont.

[4] További védelmi műveletek és az ember kiszabadítása. ISO 13850:2015, a szabvány alkalmazási területe, valamint 4.1.1.2 és 4.1.1.5 pont: más védelmi funkciók hatékonyságának fenntartása és a puszta megállítástól eltérő műveletek kezdeményezésének lehetősége. Az ilyen műveletek részletes követelményei nem tartoznak az ISO 13850 alkalmazási területébe. Az ISO 12100:2010 6.3.5.2–6.3.5.3 pontja megkülönbözteti a vészleállítást és a beszorult személyek kiszabadítására, illetve mentésére szolgáló eszközöket.

[5] A többi védelem fenntartása és a leállítási kategóriák. ISO 13850:2015, 4.1.1.2, 4.1.1.4–4.1.1.5 és 4.1.3 pont. A szabvány egyebek mellett a személyek kiszabadítását, a tűzoltást, valamint az elektromágneses megfogók vagy fékek működésének esetleges fenntartását említi. A 0. és 1. kategória cikkbeli leírása ezekre az előírásokra vonatkozik; nem jelenti a teljes berendezés minden energiaforrástól való kötelező leválasztását.

[6] Egy emberi művelet, sorrend és hatásterületek. ISO 13850:2015, 4.1.1.1, 4.1.1.5–4.1.1.6 és 4.1.2–4.1.2.1 pont: a megállításhoz szükséges további emberi beavatkozás nélküli megfelelő reakció, az előre meghatározott sorrend lehetősége, az eszközhasználat következményeinek tervezése és a hatásterületek felosztásának feltételei. A különböző szállítók berendezései közötti együttműködés elemzése e követelmények gyakorlati kibontása.

[7] PL/SIL, a megállított állapot fenntartása és a visszaállítás. ISO 13850:2015, 4.1.5.1 pont: az ISO 13849-1 és/vagy IEC 62061 megfelelő követelményei, a minimális PLr c vagy SIL 1, valamint az elemek megengedett közös használata. A 4.1.1.2 és 4.1.4 pont meghatározza a funkció rendelkezésre állását, a megállított állapot fenntartását és azt a visszaállítást, amely nem indíthatja újra a gépet. Konkrét alkalmazásnál a megfelelő részletes követelményeket, köztük az alkalmazandó C típusú szabványt is figyelembe kell venni.

[8] Funkciókövetelmények és validálás. ISO 13849-1:2023, 8. fejezet, valamint 10.1.1, 10.2 és 10.4.1 pont: az elért PL ellenőrzése, az elemzéssel és vizsgálattal végzett validálás, a specifikáció teljességének és következetességének vizsgálata, továbbá a vizsgálati terv és az elvárt eredmények előzetes meghatározása. A cikk táblázata az információk rendszerezésére szolgáló szerzői javaslat, nem minden vezérlőrendszerhez alkalmazható teljes validálási terv.

[9] Az uniós jogi követelmények összefüggései. A 2006/42/EK irányelv angol nyelvű szövege az EUR-Lexen, I. melléklet 1.2.4.3–1.2.4.4 pontja, valamint az (EU) 2023/1230 rendelet angol nyelvű szövege az EUR-Lexen, III. melléklet 1.2.4.3–1.2.4.4 pontja: a vészleállítás kiegészítő szerepe, a további kockázat elkerülése, a védelmi mozgások és azon kapcsolódó berendezések leállítása, amelyek további működése veszélyes lehet. A rendelet általános alkalmazása 2027. január 20-án kezdődik; az átmeneti rendelkezéseket és az időpontokat az 52. és 54. cikk határozza meg. Egy szabvány cikkbeli említése önmagában nem állítás arról, hogy az adott szabvány valamely jogi aktushoz harmonizált lenne.

A példák jellege és az alkalmazás korlátai. A bemutatott munkahelyek, energiaellátási megoldások, dokumentumbejegyzések és kijelentések szemléltető példák. Nem egy megállapított balesetet írnak le, és nem szolgálnak konkrét géphez mentési utasításként. Az elemek szétnyitása, a leszorítás oldása és az ellenkező irányú mozgás megfelelő tervezést és következményelemzést igényel. A cikk a funkció szerepét és működési logikáját tárgyalja, nem az ISO 13850 valamennyi követelményét; a pontos alkalmazási területet és a kivételeket a szabvány 1. fejezete tartalmazza. Az ellenőrző kérdések és a hibás tervezési feltételekre vonatkozó következtetések a hivatkozott források mérnöki kibontásai.