Odległość kurtyny bezpieczeństwa wg ISO 13855: pół metra, którego zabrakło po zmianie F_WD_TIME

Kurtyna nie została przesunięta. Przesunęła się granica, od której mogła być uznana za bezpieczną.

W sterowniku SIMATIC S7-1500F, skonfigurowanym w TIA Portal V18, zwiększono F_WD_TIME z około 150 do około 500 ms. Nie musi to oznaczać błędu projektanta. Czas monitorowania PROFIsafe nie jest wartością uniwersalną — musi odpowiadać rzeczywistej konfiguracji komunikacji, cyklom programu safety i zastosowanym urządzeniom F. Problem zaczyna się wtedy, gdy zmianę traktuje się wyłącznie jako korektę komunikacji, bez sprawdzenia jej wpływu na całą funkcję bezpieczeństwa.

Nie szukaj w tych dwóch liczbach gotowej recepty. Wartości zostały zaokrąglone dla potrzeb opisu przypadku i nie są uniwersalnymi nastawami zalecanymi przez Siemensa.

W tym przypadku wpływ zmiany ujawniła ponowna walidacja. Badanie dobiegu określiło rzeczywisty czas ustania ruchu, a obliczenie maksymalnego czasu reakcji uwzględniło aktualną konfigurację systemu safety. Po poprawnym połączeniu obu wartości i ponownym wyznaczeniu odległości według ISO 13855 okazało się, że kurtyna znajduje się za blisko strefy zagrożenia. Zabrakło ponad pół metra.

Skalę pokazuje zależność S = (K × T) + C. Jeżeli całkowity czas T wzrasta o 350 ms, to przy K = 1600 mm/s wymagana odległość zwiększa się o 560 mm. Różnica nastawy F_WD_TIME nie musi przechodzić do całkowitego czasu jeden do jednego — dlatego rozstrzygające są obliczenia i pomiar całej funkcji.

Na dodatkowe pół metra nie było miejsca. Kurtyny nie dało się odsunąć, więc trzeba było zmienić środek ochronny. Zastąpiła ją przezroczysta osłona blokująca z ryglowaniem, przebudowano system sterowania związany z bezpieczeństwem i określono PLr = d dla nowych funkcji bezpieczeństwa.

W tym miejscu historia przestaje dotyczyć jednego parametru w TIA Portal. Zmiana F_WD_TIME może uruchomić cały łańcuch: od ponownego obliczenia czasu reakcji, przez zmianę środka ochronnego, aż po ocenę, czy doszło do istotnej modyfikacji i kto przejmuje obowiązki producenta.

F_WD_TIME 500 ms: zła wartość czy źle oceniony skutek?

Ocena takiej zmiany bardzo łatwo zaczyna się od podejrzenia:

→ „Kto zwiększa watchdog ze 150 do 500 ms?”
→ „Przecież to parametr funkcji bezpieczeństwa.”
→ „Czy ktoś nie próbuje w ten sposób zamaskować problemów z komunikacją?”

To rozsądne pytania. Żadne z nich nie rozstrzyga jednak, czy kurtyna nadal znajduje się w bezpiecznej odległości.

Prawidłowe pytanie brzmi:

Co zmiana F_WD_TIME zrobiła z maksymalnym czasem reakcji i wymaganą odległością kurtyny?

Dlaczego F_WD_TIME nie ma jednej prawidłowej wartości?

F_WD_TIME nie ma jednej właściwej wartości dla wszystkich instalacji. Zbyt krótki czas monitorowania może powodować pasywację urządzeń F, mimo że komunikacja działa bez uszkodzenia. W bardziej rozbudowanej konfiguracji znaczenie mają między innymi cykle F-CPU, aktualizacja sieci, zastosowane urządzenia i architektura PROFIsafe.

Można więc mieć źle dobrane 150 ms i prawidłowo dobrane 500 ms. Można również mieć prawidłowe 150 ms i całkowicie nieuzasadnione 500 ms. Sama liczba nie daje odpowiedzi.

Siemens opisuje dwa wymagania, które trzeba spełnić jednocześnie. Czas monitorowania powinien być wystarczająco długi, aby nie był przekraczany podczas bezbłędnej pracy, ale jednocześnie na tyle krótki, aby nie został przekroczony czas bezpieczeństwa procesu.

Zwiększenie parametru może więc poprawić dostępność maszyny. Nie potwierdza jednak, że maszyna nadal reaguje wystarczająco szybko, a dotychczasowy środek ochronny zachował skuteczność.

Tutaj F_WD_TIME zwiększono z około 150 do około 500 ms. Z technicznego punktu widzenia mogła to być zmiana uzasadniona wymaganiami konkretnej konfiguracji. Z punktu widzenia bezpieczeństwa wymagała ponownego sprawdzenia całej funkcji.

Problemem nie musi być sama wartość watchdoga.

Problem zaczyna się wtedy, gdy po jej zmianie nadal korzystamy ze starych obliczeń, starego protokołu i starej odległości.

Dlaczego nie wrócić po prostu do 150 ms?

To pierwsze pytanie, które powinno paść po otrzymaniu wyniku walidacji:

„Skoro przy 500 ms kurtyna jest za blisko, ustawmy ponownie 150 ms.”

Jeżeli krótsza wartość nadal odpowiada rzeczywistej konfiguracji PROFIsafe, takie rozwiązanie może być prawidłowe. Nie ma sensu przebudowywać maszyny tylko po to, aby zachować niepotrzebnie wydłużony watchdog.

Sytuacja wygląda inaczej, jeżeli 150 ms nie zapewnia wymaganej rezerwy dla aktualnych cykli F-CPU, urządzeń i komunikacji. Powrót do starej wartości poprawiłby wynik obliczenia odległości, ale nie rozwiązałby przyczyny zmiany parametru.

Obowiązuje prosta zasada:

Odległość kurtyny wynika z czasu reakcji. Czasu reakcji nie dobiera się do miejsca dostępnego na hali.

Najpierw trzeba sprawdzić, czy F_WD_TIME można skrócić, czy można ograniczyć pozostałe składniki czasu reakcji oraz czy można skrócić mechaniczny czas zatrzymania. Dopiero gdy te możliwości zostaną wykluczone, pozostają dwie drogi: odsunąć kurtynę albo zmienić środek ochronny.

Na dodatkowe pół metra nie było miejsca. Problemu nie dało się więc zamknąć samą korektą ustawień. Trzeba było zmienić koncepcję zabezpieczenia.

Badanie dobiegu i obliczenie czasu reakcji: gdy 350 ms oznacza 560 mm

Do tego momentu można jeszcze dyskutować o konfiguracji PROFIsafe. Czy 150 ms było prawidłowe? Czy 500 ms było konieczne? Czy można było skrócić cykl albo poprawić komunikację?

Odpowiedź daje dopiero spójna walidacja. Obliczenie maksymalnego czasu reakcji pokazuje zachowanie części sterowania, również dla przyjętych scenariuszy błędów. Badanie dobiegu pokazuje rzeczywiste ustanie ruchu niebezpiecznego. Granice obu wartości muszą być jednoznacznie określone, aby żadnego składnika nie pominąć ani nie policzyć dwa razy.

Zakres badania musi odpowiadać analizowanemu scenariuszowi. Typowy pomiar rozpoczynany naruszeniem kurtyny przy prawidłowej komunikacji potwierdza zdrową ścieżkę reakcji i nie musi obejmować oczekiwania na F_WD_TIME. Wpływ watchdoga na maksymalną ścieżkę reakcji trzeba wtedy wykazać obliczeniem czasów systemu safety i zestawić je z pomiarem zaniku ruchu.

Samo stwierdzenie „maszyna się zatrzymała” nie ma tu większej wartości. Pytanie brzmi: czy zatrzymała się, zanim człowiek mógł dotrzeć do zagrożenia?

Jak obliczyć minimalną odległość kurtyny bezpieczeństwa?

ISO 13855 odpowiada na to pytanie, przeliczając czas na odległość:

S = (K × T) + C

Jeżeli pozostałe składniki nie ulegają zmianie, wpływ różnicy całkowitego czasu można pokazać jako:

ΔS = K × ΔT

Wartość ΔT oznacza tu różnicę pomiędzy dwoma obliczeniami maksymalnego czasu reakcji, a nie automatycznie samą różnicę nastawy F_WD_TIME. Wartość K = 2000 mm/s pokazuje skalę matematyczną; właściwy wariant dla projektu trzeba wybrać zgodnie z wymaganiami ISO 13855, a nie według korzystniejszego wyniku.

Nie wolno wybierać korzystniejszego K tylko dlatego, że daje mniejszy wynik. Właściwy wariant obliczenia, wartość C oraz pozostałe warunki wynikają ze sposobu zbliżania, zdolności wykrywania i wymagań ISO 13855 dla konkretnego zastosowania.

Nie jest to również margines, który można dowolnie zaokrąglić. To odległość, którą trzeba zapewnić pomiędzy polem detekcji kurtyny a strefą zagrożenia.

Który wynik pomiaru należy przyjąć?

Jeden pomiar nie wystarcza. W informacyjnym załączniku wydania ISO 13855 zastosowanego w tym przypadku wskazano co najmniej 10 pomiarów. Należy je wykonać w zidentyfikowanych warunkach prowadzących do najdłuższego realistycznego czasu zaniku zagrożenia. Zależnie od maszyny mogą to być między innymi prędkość, obciążenie, faza cyklu, temperatura i stan elementów odpowiedzialnych za zatrzymanie.

Który wynik przyjąć?

Nie najładniejszy. Nie średni. Nie ten, który pozwala zachować istniejącą kurtynę.

Zgodnie z metodą opisaną w tym załączniku do wyznaczenia odległości przyjmuje się większą z dwóch wartości: najdłuższy zmierzony czas albo średnią powiększoną o trzy odchylenia standardowe.

Co dokładnie obejmuje pomiar czasu zatrzymania?

Trzeba również pilnować granic pomiaru. Jeżeli przyrząd mierzy cały czas od zadziałania urządzenia ochronnego do ustania ruchu, nie wolno ponownie dodawać tych samych składników z kalkulatora. Jeżeli pomiar obejmuje tylko mechaniczną część zatrzymania, obliczony czas wcześniejszej części toru trzeba dodać.

Połączenie obliczenia czasów reakcji z wynikiem badania prowadziło do jednego wniosku: wymagana odległość kurtyny wzrosła o ponad pół metra.

Tyle że na hali tego pół metra nie było.

Kurtyna działała prawidłowo. Mimo to trzeba było ją usunąć

To pozorna sprzeczność. Kurtyna wykrywała obecność człowieka i wywoływała zatrzymanie. Problem nie leżał w samym urządzeniu. Problemem była odległość od strefy zagrożenia.

Kurtyna nie zatrzymuje człowieka fizycznie. Wykrywa jego wejście i daje maszynie sygnał do zatrzymania. Cała koncepcja działa tylko wtedy, gdy ruch niebezpieczny ustanie, zanim człowiek zdąży dotrzeć do zagrożenia.

Dlaczego brak miejsca wymusił zmianę koncepcji ochronnej?

Co zrobić, gdy z badania i obliczeń wynika, że potrzeba dodatkowych 560 mm, ale na hali nie ma już miejsca?

ISO 12100 wymaga powrotu do iteracyjnego procesu redukcji ryzyka. Najpierw trzeba ponownie rozważyć rozwiązania bezpieczne same w sobie, w tym możliwość skrócenia czasu reakcji i zatrzymania. Jeżeli to nie wystarcza, trzeba dobrać techniczny środek ochronny odpowiadający rzeczywistym warunkom.

Brak miejsca nie zmienia wyniku ISO 13855.

W analizowanym przypadku zmieniono zasadę ochrony. Kurtynę, która wykrywała wejście człowieka do strefy, zastąpiono przezroczystą osłoną, która miała do tego wejścia nie dopuścić.

Przezroczyste panele pozwoliły zachować obserwację procesu, ale nie mogły być traktowane jak element dekoracyjny. Konstrukcję, wytrzymałość i mocowanie osłony oceniono według ISO 14120. Nie mogła ona tworzyć nowych miejsc zgniecenia ani ostrych krawędzi. Możliwość sięgania przez, ponad lub pod konstrukcją trzeba natomiast ocenić z uwzględnieniem ISO 13857.

Dlaczego zastosowano osłonę blokującą z ryglowaniem?

Pozostał jednak dostęp potrzebny do obsługi i serwisu. Dlaczego nie wystarczyła zwykła osłona blokująca?

Otwarcie osłony blokującej wywołuje zatrzymanie, ale nie uniemożliwia jej natychmiastowego otwarcia. Jeżeli ruch niebezpieczny zanika dopiero po pewnym czasie, operator może dotrzeć do strefy, zanim maszyna rzeczywiście się zatrzyma.

O potrzebie ryglowania nie przesądza sam fakt występowania dobiegu, lecz porównanie czasu zaniku zagrożenia z czasem uzyskania dostępu oraz wynik oceny ryzyka. W tym przypadku osłona miała pozostać zamknięta od chwili wydania żądania dostępu aż do ustania ryzyka. Dopiero wtedy system mógł zwolnić rygiel i pozwolić na otwarcie drzwi. Zasady doboru urządzenia blokującego, ryglowania oraz ograniczania możliwości obejścia opisuje ISO 14119.

Zmiana kurtyny na osłonę blokującą z ryglowaniem nie oznaczała prostego zastąpienia jednego komponentu drugim. Trzeba było zbudować nowe funkcje bezpieczeństwa:

→ zatrzymanie ruchu po zgłoszeniu żądania dostępu,
→ zapobieganie uruchomieniu przy otwartej osłonie,
→ utrzymanie zaryglowania do czasu ustania ryzyka,
→ zwolnienie ryglowania dopiero po potwierdzeniu wymaganych warunków,
→ zapobieganie nieoczekiwanemu ponownemu uruchomieniu.

PLr = d dotyczy funkcji bezpieczeństwa, nie samej osłony

Dla każdej zidentyfikowanej funkcji określono wymagany PLr na podstawie oceny ryzyka. W opisywanym przypadku dla funkcji mających zapewniać redukcję tego ryzyka przyjęto PLr = d. Następnie zaprojektowano części systemu sterowania związane z bezpieczeństwem tak, aby osiągnięty PL był co najmniej równy PLr, oraz poddano funkcje weryfikacji i walidacji zgodnie z ISO 13849.

Nie oznacza to, że sama osłona „miała PL d”. Poziom zapewnienia bezpieczeństwa dotyczy całej funkcji: od czujnika położenia i stanu rygla, przez logikę sterownika, aż po element wykonawczy zatrzymujący ruch. Oznaczenie pojedynczego wyłącznika nie potwierdza poziomu osiągniętego przez cały układ.

W efekcie zmiana jednej nastawy doprowadziła do nowej osłony, nowych funkcji bezpieczeństwa, przebudowy programu safety i ponownej walidacji.

I właśnie ten zakres prowadzi do kolejnego pytania: czy podmiot, który wykonał przebudowę, nadal jest tylko użytkownikiem maszyny, czy przejął już obowiązki jej producenta?

Od zmiany cyfrowej do istotnej modyfikacji

Na pierwszy rzut oka odpowiedź wydaje się oczywista. Kurtynę zastąpiono osłoną blokującą z ryglowaniem, przebudowano program safety i dodano nowe funkcje bezpieczeństwa. Zakres prac był duży, więc modyfikacja musiała być istotna.

Rozporządzenie 2023/1230 nie ocenia jednak liczby zmienionych elementów. Nie pyta, ile metrów osłony dołożono ani ile bloków programu przebudowano. Pyta o wpływ zmiany na bezpieczeństwo.

Jak ocenić łączne przesłanki rozporządzenia?

W ścieżce właściwej dla tego przypadku trzeba więc ustalić łącznie:

→ czy po wprowadzeniu maszyny do obrotu lub oddaniu jej do użytku dokonano zmiany fizycznej albo cyfrowej,
→ czy zmiana nie była przewidziana ani zaplanowana przez producenta maszyny,
→ czy stworzyła nowe zagrożenie albo zwiększyła istniejące ryzyko,
→ czy wymagała dodania osłony lub urządzenia ochronnego,
→ czy działanie tego środka wymagało modyfikacji istniejącego systemu sterowania związanego z bezpieczeństwem.

Sama zmiana F_WD_TIME nie przesądza o istotnej modyfikacji. Może jednak spełnić jej przesłanki, jeżeli cały powyższy łańcuch zostanie potwierdzony w ocenie ryzyka.

W analizowanym przypadku punktem wyjścia była zmiana cyfrowa w eksploatowanej maszynie. Ponowna walidacja wykazała, że istniejąca odległość kurtyny nie zapewnia zakładanej redukcji ryzyka. Bezpieczeństwa nie można było przywrócić przez odsunięcie kurtyny, a nowa osłona blokująca z ryglowaniem wymagała przebudowy funkcji realizowanych przez system safety.

Taki ciąg odpowiada mechanizmowi opisanej w rozporządzeniu istotnej modyfikacji:

zmiana cyfrowa → wzrost ryzyka → nowy środek ochronny → przebudowa istniejącego systemu safety

Pozostaje przesłanka, której nie wolno dopowiadać na podstawie samego zakresu prac: czy taki wariant zmiany był przewidziany albo zaplanowany przez producenta maszyny?

Jeżeli producent uwzględnił go w pierwotnej ocenie ryzyka, dokumentacji i instrukcjach, może to być zmiana wykonana w ramach przewidzianej konfiguracji. Jeżeli nie została przewidziana, a wszystkie pozostałe warunki są spełnione, przypadek może zostać zakwalifikowany jako istotna modyfikacja.

Kiedy podmiot przejmuje obowiązki producenta?

Jeżeli wszystkie przesłanki są spełnione, art. 18 rozporządzenia uznaje osobę fizyczną lub prawną dokonującą istotnej modyfikacji za producenta do celów tego rozporządzenia. Obowiązki dotyczą maszyny lub produktu powiązanego objętego skutkami modyfikacji, a w przypadku zespołu maszyn — produktu dotkniętego zmianą w zakresie wykazanym oceną ryzyka.

Nie kończy się to na ponownej ocenie ryzyka i walidacji. Obowiązki producenta obejmują również przygotowanie dokumentacji technicznej, przeprowadzenie właściwej procedury oceny zgodności, sporządzenie deklaracji zgodności UE, umieszczenie oznakowania CE, zapewnienie instrukcji i identyfikacji oraz przechowywanie dokumentacji technicznej i deklaracji zgodności UE przez co najmniej 10 lat.

Rozporządzenie weszło w życie 19 lipca 2023 r., lecz jego zasadnicze przepisy dotyczące istotnej modyfikacji stosuje się od 20 stycznia 2027 r. Jeżeli przebudowę wykonano wcześniej, nie kwalifikuje się jej retroaktywnie według tych artykułów. Należy zastosować przepisy obowiązujące w chwili dokonania zmiany.

Dyrektywa maszynowa nie zawierała prawnej definicji „istotnej modyfikacji” ani „znaczącej modernizacji”. Drugie określenie funkcjonowało w praktyce branżowej. Oficjalny przewodnik Komisji wskazywał natomiast potrzebę oceny, czy zakres przekształcenia oznaczał w istocie skonstruowanie nowej maszyny.

Więcej o samym teście prawnym opisujemy w artykule Istotna modyfikacja — kiedy faktycznie do niej dochodzi?. Możesz też przejść przez weryfikację przesłanek istotnej modyfikacji.

Jak daleko sięga zakres istotnej modyfikacji?

Po słowach „przejmuje obowiązki producenta” łatwo pójść w jedną z dwóch skrajności.

Pierwsza brzmi:

„Musimy od nowa zrobić ocenę zgodności i dokumentację całej linii.”

Druga:

„Zmieniliśmy tylko kurtynę na osłonę, więc dokumentujemy wyłącznie nowe drzwi i rygiel.”

Obie odpowiedzi mogą być błędne.

Motyw 26 rozporządzenia wyjaśnia, że osoba dokonująca istotnej modyfikacji nie powinna być zobowiązana do powtarzania badań i sporządzania nowej dokumentacji w odniesieniu do maszyn lub produktów powiązanych, które stanowią część zespołu maszyn i na które modyfikacja nie ma wpływu.

Nie ogranicza to jednak obowiązków wobec maszyny lub produktu rzeczywiście objętego modyfikacją.

Zakresu wpływu nie można ustalić na podstawie nazwy projektu, granicy szafy sterowniczej ani miejsca zamontowania nowej osłony. Musi wynikać z oceny ryzyka.

Trzeba więc sprawdzić znacznie więcej niż samą konstrukcję drzwi:

→ jaką część linii zatrzymuje otwarcie osłony,
→ czy zmieniły się granice stref zatrzymania,
→ czy inne maszyny mogą nadal wykonywać ruch niebezpieczny,
→ gdzie znajduje się reset i co operator widzi z tego miejsca,
→ czy po zamknięciu osłony możliwy jest nieoczekiwany restart,
→ czy człowiek może pozostać pomiędzy osłoną a strefą zagrożenia,
→ czy zmiana wpływa na interfejsy pomiędzy maszynami.

Jeżeli ocena ryzyka wykaże, że istotna modyfikacja wpływa na bezpieczeństwo wyłącznie jednej maszyny lub jednego produktu powiązanego stanowiącego część zespołu maszyn, art. 18 pozwala ograniczyć obowiązki producenta do tego produktu.

Jeżeli jednak zmieniono wspólny dostęp, zatrzymanie, reset, restart albo komunikację pomiędzy strefami, nie można twierdzić, że modyfikacja dotyczy wyłącznie jednych drzwi.

Maszyna czy zintegrowany system produkcyjny?

Jeżeli analizowany układ jest zintegrowanym systemem produkcyjnym obejmującym co najmniej dwie wzajemnie połączone maszyny realizujące określone zastosowanie, do analizy interfejsów i wzajemnego oddziaływania funkcji safety dochodzi perspektywa ISO 11161. Pojedyncze maszyny mogą być zgodne i prawidłowo zabezpieczone, a mimo to po ich połączeniu albo zmianie wspólnego środka ochronnego może powstać nowe ryzyko na poziomie całego systemu.

Prawidłowe pytanie brzmi:

Jak daleko sięga wpływ przebudowy na funkcje, strefy i interfejsy bezpieczeństwa?

Które dokumenty i dowody trzeba zaktualizować?

W odniesieniu do nieobjętych zmianą maszyn lub produktów powiązanych stanowiących część zespołu nie trzeba powtarzać badań ani tworzyć nowej dokumentacji. W dokumentacji produktu objętego modyfikacją można wykorzystać wcześniejsze dowody, jeżeli nadal są aktualne i właściwe. Całość musi jednak spójnie wykazywać zgodność maszyny lub produktu objętego obowiązkami producenta.

Nie zawsze oznacza to tworzenie każdego dokumentu od pustej strony. Trzeba jednak przygotować kompletną i spójną dokumentację techniczną dla produktu objętego obowiązkami, wskazując, które wcześniejsze dowody pozostają ważne, które zaktualizowano oraz dlaczego modyfikacja nie wpływa na pozostałe maszyny lub produkty w zespole.

Granicy obowiązków producenta nie wyznacza miejsce, w którym kończy się nowa osłona.

Wyznacza ją wpływ modyfikacji wykazany w ocenie ryzyka.

Zmieniasz parametr safety? Sprawdź cały łańcuch jeszcze raz

Zmiana F_WD_TIME nie oznacza automatycznie przygotowania od początku całej dokumentacji. Jeżeli jednak prowadzi do istotnej modyfikacji, dokumentacja techniczna musi obejmować maszynę lub produkt, którego bezpieczeństwo zostało dotknięte zmianą.

Stary protokół badania dobiegu nadal może być poprawnym zapisem historycznym. Nie potwierdza jednak automatycznie odległości kurtyny po zmianie programu safety.

Każdy z tych dowodów odpowiada na inne pytanie. Kalkulator czasów reakcji pokazuje zachowanie systemu sterowania. Badanie dobiegu pokazuje rzeczywiste ustanie ruchu. ISO 13855 zamienia czas na odległość. Ocena ryzyka rozstrzyga, czy zastosowane środki nadal zapewniają wymaganą redukcję ryzyka.

Żaden z tych dowodów nie zastępuje pozostałych.

Dlatego każda zmiana parametru związanego z czasem reakcji powinna pozostawić po sobie czytelny ślad: przyczynę, konfigurację przed i po zmianie, obliczenia, wyniki pomiarów, ocenę ryzyka, decyzję projektową i raport walidacji.

Zostaw ślad od zmiany parametru do walidacji

RT Calculator Siemensa pomaga obliczyć czas reakcji. Nie pokaże jednak, dlaczego zaakceptowano zmianę ani jakie konsekwencje wywołała ona w całej maszynie.

Ten łańcuch decyzji można uporządkować w Safety Software — ocena ryzyka maszyn. Moduł Ślad audytowy pozwala zachować historię zmian i uzasadnień, a Audyt maszyn porządkuje ustalenia, działania korygujące i dowody walidacji.

Podsumowanie

Ten przypadek nie dowodzi, że F_WD_TIME = 500 ms jest wartością nieprawidłową. Pokazuje coś ważniejszego: zmiana parametru wpływającego na czas reakcji może unieważnić wcześniejsze założenia dotyczące bezpieczeństwa maszyny.

Łańcuch był prosty:

zmiana F_WD_TIME → inny maksymalny czas reakcji → większa odległość kurtyny → brak miejsca → nowa osłona blokująca z ryglowaniem → przebudowa systemu safety

Przy K = 1600 mm/s dodatkowe 350 ms całkowitego czasu oznacza 560 mm wymaganej odległości. Tego wyniku nie można zmniejszyć dlatego, że na hali brakuje miejsca. Jeżeli nie da się skrócić czasu ani odsunąć kurtyny, trzeba zmienić koncepcję ochrony.

Sama zmiana watchdoga nie przesądza o istotnej modyfikacji. Może jednak uruchomić ciąg zdarzeń, który spełni wszystkie jej przesłanki: zmianę cyfrową dokonaną po wprowadzeniu maszyny do obrotu lub oddaniu do użytku, nieprzewidzianą przez producenta, zwiększenie ryzyka, zastosowanie nowego środka ochronnego i przebudowę istniejącego systemu sterowania związanego z bezpieczeństwem.

Najważniejsze pytanie nie brzmi więc:

„Czy wolno było zwiększyć F_WD_TIME?”

Brzmi inaczej:

Czy po tej zmianie ponownie obliczono, zmierzono i potwierdzono bezpieczeństwo maszyny?

Jeżeli odpowiedź opiera się na aktualnych obliczeniach, badaniu dobiegu, ocenie ryzyka i walidacji, zmiana jest pod kontrolą.

Jeżeli nadal opiera się na starym protokole i przekonaniu, że „przecież kurtyny nie przesuwaliśmy”, właśnie tam zaczyna się problem.

Źródła oficjalne

Siemens

• SIMATIC Safety — Configuring the monitoring times
• SIMATIC STEP 7 Safety Advanced — RT Calculator
• SIMATIC Safety — Response Times of Safety Functions
• Safety Function via IWLAN — przykład dla TIA Portal V18
• SIMATIC Safety — system acceptance and verification of times

Prawo Unii Europejskiej

• Rozporządzenie (UE) 2023/1230 — tekst aktualny
• Rozporządzenie (UE) 2023/1230 — motyw 26
• Przewodnik do dyrektywy maszynowej 2006/42/WE

Normy wykorzystane w analizie

• ISO 12100 — ocena i redukcja ryzyka;
• ISO 13855 — umiejscowienie technicznych środków ochronnych;
• ISO 14119 — urządzenia blokujące związane z osłonami;
• ISO 14120 — projektowanie i budowa osłon;
• ISO 13857 — odległości bezpieczeństwa uniemożliwiające sięganie do stref zagrożenia;
• ISO 13849-1 — projektowanie części systemów sterowania związanych z bezpieczeństwem;
• ISO 11161 — zintegrowane systemy produkcyjne.

Przed zastosowaniem normy należy ustalić wydanie właściwe dla danego projektu, krajową publikację oraz aktualną podstawę domniemania zgodności.