Operator otwiera osłonę centrum obróbkowego. Wsuwa detal do uchwytu i przytrzymuje go dłonią, żeby ustawić przed zamocowaniem. Próbuje uruchomić zacisk. Maszyna odmawia: otwarta osłona blokuje ruch.
Dokładnie tak ją zaprojektowano. Produkcję trzeba jednak jakoś rozpocząć.
Załóżmy, że oglądamy to stanowisko podczas odbioru. W szafie są sprawdzone komponenty, na stole leży raport z obliczeń poziomu skuteczności (PL). Projektant ma schemat, dane czujnika i bibliotekę producenta. Operator ma detal w ręku. Jego zadania nie uzgodniono równie dokładnie.
Układ poprawnie wykonuje przypisaną funkcję. Tyle że przed jej wyborem zabrakło pytania, jak człowiek ma zamocować część. Tę lukę powinna pomóc zamknąć SRS — specyfikacja wymagań bezpieczeństwa, zanim nieopisane założenie zostanie zamówione, zamontowane i zaprogramowane.
ISO 13849-1:2023 wymaga wyników oceny ryzyka według ISO 12100. Z nich wyprowadzamy funkcje bezpieczeństwa, potrzebne zachowanie i wymagany poziom skuteczności (PLr). Zapisujemy je w SRS, która jest częścią dokumentacji technicznej i podstawą dalszego projektowania.
Potem przyjdą dobór, obliczenia, weryfikacja i walidacja. Zanim zaczniemy tę pracę, warto ustalić, gdzie przy zaciskaniu będzie dłoń operatora. W katalogu sterownika tego nie znajdziemy.
Jak bezpiecznie zamocować detal, skoro układ jest już gotowy?
Cofnijmy się o kilka tygodni. Projekt przyspiesza, bo ktoś proponuje sprawdzony zestaw z poprzedniej maszyny: czujnik osłony, sterownik i odpowiedni napęd. Dane są dostępne, biblioteka gotowa, dostawca zna termin.
Pytanie o ręczne ustawianie detalu zostaje na uruchomienie. Wtedy przecież będzie wszystko widać.
I rzeczywiście: teraz wszyscy widzą problem. Operator potrzebuje ruchu przy otwartej osłonie, a układ ma ten ruch zatrzymywać. Pada propozycja dodania wyjątku w programie. Zakupione urządzenia zaczynają wyznaczać wymagania ochrony, chociaż powinny służyć do ich wykonania.
Zatrzymajmy rozmowę przy uchwycie. Dlaczego operator musi podtrzymywać detal? Czy oprzyrządowanie mogłoby wcześniej ustalić jego położenie? Który ruch jest konieczny, a który zniknie po zmianie sposobu mocowania?
Od tych odpowiedzi zależy koncepcja ochrony. Być może zmieni się uchwyt. Być może potrzebny pozostanie ruch przy dostępie — wtedy trzeba określić warunki jego dopuszczenia, ograniczenia i zatrzymania. Sam wyjątek w logice nie rozstrzygnie bezpieczeństwa tej czynności.
Ten sam sterownik, inne zadanie
W poprzedniej maszynie załadunek mógł wyglądać inaczej. Załóżmy, że tam oprzyrządowanie utrzymywało odłożoną część, a operator zamykał drzwi przed mocowaniem. Tutaj jego ręka pozostaje w środku dłużej.
Numer sterownika się zgadza. Warunki zastosowania już niekoniecznie. Przed wykorzystaniem starego projektu sprawdzamy dostęp, kolejność czynności, potrzebne ruchy i zachowanie obciążenia. Odpowiedź „na poprzedniej maszynie działało” nadal opisuje poprzednią maszynę.
Takie ustalenia potrafią zmienić rysunki, dobór urządzeń i program. Znacznie trudniej je przyjąć, gdy szafa jest gotowa, a w harmonogramie zostało pole „odbiór”. Wtedy ręka operatora przeszkadza już także w zamknięciu projektu.
Powtórzenie obliczeń obwodu nie rozstrzygnie sporu przy zacisku. Osiągnięty PL dotyczy realizowanej funkcji i warunków jej oceny. Jeżeli sprawdzaliśmy zatrzymanie po otwarciu osłony, wynik nie dopisze wymagań dla ręcznego mocowania.
Można mieć dwa kanały i ani jednego wymagania dotyczącego czynności, którą operator właśnie wykonuje.
Certyfikowane urządzenia i wcześniej zwalidowane podsystemy są przydatne. ISO 13849-1 przewiduje ich użycie przy spełnieniu warunków integracji. Nadal jednak wykazujemy właściwości pełnej funkcji w konkretnej aplikacji, z jej uchwytem, obciążeniem i dostępem.
Producent sterownika nie zna naszego sposobu ustawiania części. Jego certyfikat nie miał okazji go ocenić.
Dla automatyka to istotna granica odpowiedzialności. Może poprawnie połączyć urządzenia, napisać logikę i uzasadnić PL, a mimo to dostać niekompletne zadanie. Potrzebuje wyników oceny ryzyka, zanim utrwali założenia w programie.
Jeżeli ich brakuje, wracamy do zespołu projektowego. Rozstrzygamy ochronę tej konkretnej pracy: kto podejmuje decyzję o uchwycie, kto określa potrzebne ruchy, kto opisuje warunki dostępu. Do zaprogramowania powinno trafić uzgodnione wymaganie.
Odłóżmy więc katalog i przejdźmy z operatorem całą czynność. Zwłaszcza jej początek, który odbywa się przed zamknięciem osłony. Dopiero wtedy będzie wiadomo, czego wymagamy od części systemu sterowania związanej z bezpieczeństwem (SRP/CS).
Dwa kanały nie naprawią zadania, którego nikt nie rozpoznał.
Dane komponentów i ocena PL uzasadniają właściwości zaprojektowanej funkcji. Najpierw trzeba ustalić, jakiej ochrony wymaga człowiek podczas rzeczywistej pracy.
Operator pojawia się w projekcie przed zamknięciem osłony
Operator przynosi detal, układa go, poprawia położenie i mocuje. Dopiero potem zamknie osłonę oraz rozpocznie obróbkę. Na końcu ponownie otworzy drzwi i wyjmie część.
Jeśli opis pracy zaczynał się od przycisku START, właśnie wypadła z niego czynność, bez której tego przycisku nie ma po co naciskać.
Do tego dochodzą źle podany detal, wymiana narzędzia, czyszczenie i wznowienie po przerwie. Przy każdej interwencji człowiek może znaleźć się w innym miejscu, bliżej innych ruchów i energii.
Zapis „obsługa zgodnie z instrukcją” nie pokazuje projektantowi tej pracy. Nie ustala również, co wolno wtedy uruchomić ani co musi pozostać nieruchome.
ISO 12100 każe zacząć od określenia ograniczeń dotyczących maszyny i jej użytkowania. Ustalamy użytkowników, tryby, materiały i interwencje. Uwzględniamy etapy życia maszyny oraz dające się przewidzieć użytkowanie nieprawidłowe.
Dopiero na tej podstawie identyfikujemy zagrożenia i szacujemy ryzyko. Następnie przeprowadzamy ewaluację: ustalamy, czy potrzebne jest jego zmniejszenie. Dzięki temu „usunąć zakleszczenie” przestaje być jednym wygodnym wierszem. Okazuje się podejściem z drugiej strony i kontrolowanym poruszeniem mechanizmu.
Rozmowa przy stanowisku ujawnia to szybko. Jeśli ochrona uniemożliwia konieczne zadanie, może też zachęcać do obchodzenia zabezpieczeń. Trzeba poprawić rozwiązanie, zanim obejście stanie się na hali zwyczajowym sposobem pracy.
Być może najlepiej zmienić uchwyt
Pierwsza decyzja przy naszym zacisku wcale nie musi dotyczyć sterownika. Oprzyrządowanie, które ustali część bez dłoni w miejscu zaciskania, zmienia samo narażenie człowieka.
Właśnie od takich rozwiązań konstrukcyjnych bezpiecznych samych w sobie ISO 12100 rozpoczyna zmniejszanie ryzyka. Potem przechodzimy do technicznych środków ochronnych — osłon lub urządzeń ochronnych — oraz uzupełniających środków ochronnych. Dalej są informacje dotyczące użytkowania.
Przy wybranej koncepcji ustalamy zadania sterowania. Ma zapobiec wskazanym ruchom podczas dostępu, dopuścić potrzebne ustawianie i zapewnić wymagane utrzymanie detalu po zaniku ciśnienia. Z tych ustaleń wyprowadzamy funkcje bezpieczeństwa oraz ich zakres.
Zadania operatora odsłaniają ważną część problemu, lecz ocena obejmuje całą maszynę. Pozostają też wyrzut materiału, hałas czy uszkodzenie konstrukcji — nawet gdy człowiek nie wykonuje właśnie ręcznej interwencji.
Cały przebieg decyzji pokazuje przykład oceny ryzyka według ISO 12100. Dalej, przy wyborze ochrony, przydaje się omówienie technicznych środków ochronnych.
ISO 13849-1 oczekuje wyników tej pracy
Punkt 4.5 ISO 13849-1:2023 wymaga wyników oceny ryzyka, informacji o potrzebnych funkcjach, ich udziale w zmniejszaniu ryzyka oraz PLr. Punkt 5.1 odwołuje się wprost do szczegółowych informacji z oceny według ISO 12100.
To dane wejściowe do projektu. Rozpoczęcie od schematu elektrycznego ich nie dostarcza, choć pozwala szybciej narysować pierwszą stronę dokumentacji.
W SRS opisujemy funkcje i wymagania funkcjonalne, określamy PLr, a następnie przeglądamy komplet przed projektowaniem. Tak prowadzą punkty 5.1–5.4. PLr należy już do gotowej SRS.
Wcześniejszy zapis bez PLr pozostaje roboczy. Dopisek „do ustalenia na uruchomieniu” wyznacza termin dalszej pracy; nie zamyka wymagania bezpieczeństwa.
Konstruktor zna uchwyt, technolog sposób ustawiania, użytkownik interwencje, a automatyk możliwości sterowania. W SRS zostaje wynik ich wspólnej decyzji. To dobry moment, by wykryć, że planowana funkcja zatrzyma maszynę, ale uniemożliwi jej obsługę.
Nasz operator nadal czeka z detalem. Różnica polega na tym, że możemy jeszcze poprawić stanowisko, zanim problem zostanie obudowany gotową maszyną.
Pomijając ISO 12100, zaczynasz pracę z ISO 13849-1 bez potrzebnych odpowiedzi.
Ocena ryzyka pozwala ustalić potrzebną ochronę. SRS zapisuje wynikające z niej wymagania dla sterowania, łącznie z PLr. Dopiero taki zapis daje podstawę projektowi.
Ruch potrzebny człowiekowi nie znika od nazwania go niebezpiecznym
Wracamy do projektu mocowania. Ktoś przypomina, że zatrzymanie po otwarciu osłony jest przecież sprawdzoną funkcją. Owszem. Pozostaje jeszcze ustawić detal, od którego zacznie się produkcja.
Normy dotyczące konkretnych maszyn pomagają rozbić hasło „zabezpieczenie” na czynności, ruchy i warunki. Wtedy widać, dlaczego jedna poprawna reakcja sterowania nie opisuje jeszcze ochrony całej pracy.
Zacisk ma zamocować detal również przed obróbką
W centrum obróbkowym oddzielamy pracę automatyczną od ręcznego ustawiania. Dla obu sprawdzamy potrzebne ruchy, dostęp do ich skutków i ochronę. Jeżeli oprzyrządowanie wymaga ruchu przy otwartej osłonie, projekt musi zapewnić bezpieczne wykonanie tej czynności.
Usunięcie blokowania zmieniłoby program. Dłoń i szczęki zostałyby w tym samym miejscu.
ISO 16090-1 dla objętych nią obrabiarek rozpatruje mocowanie detalu, monitorowanie zamocowania oraz warunki rozpoczęcia pracy. Pytania sięgają więc dalej niż do położenia drzwi.
Czy część jest utrzymana? Jakie ruchy można dopuścić? Co stanie się po utracie energii? Odpowiedzi mogą wymusić zmianę uchwytu, sposobu sterowania albo całej kolejności mocowania.
Gdy norma typu C podaje wymaganie lub PLr, zachowujemy razem z nimi opis zastosowania i warunki. Sama litera łatwo przechodzi do tabeli. Trudniej zauważyć, że pochodziła z wiersza dotyczącego innego dostępu lub stanu maszyny.
SRS ma pozwolić następnej osobie odtworzyć tę decyzję: dla jakiej czynności przyjęto funkcję i dlaczego oczekujemy właśnie takiej ochrony.
Belownica skończyła prasowanie. Teraz trzeba odebrać belę
Przenieśmy się do pionowej prasy do belowania odpadów, czyli belownicy. Projektant rozpatrzył ruch płyty podczas prasowania. Drzwi były zamknięte, dostęp nadzorowany, cykl dobiegł końca.
Operator ma jeszcze związać i usunąć belę. Otwiera drzwi, zmienia pozycję, korzysta z ruchów potrzebnych do odbioru. W opisie cyklu maszyna już skończyła. Przy maszynie człowiek dopiero kończy swoją pracę.
EN 16500:2014 poświęca tej fazie osobne wymagania. Chodzi o określone zamknięte belownice pionowe z ręcznym wiązaniem — nie o dowolną maszynę prasującą odpady.
Punkt 5.1.4 rozpatruje wyrzut beli, sterowanie poza strefą jej przewracania i widoczność. Przy dostępie przez otwarte drzwi do niebezpiecznego ruchu płyty w górę przewiduje sterowanie oburęczne. Punkt 5.2.2 przypisuje tej funkcji PLr d.
W SRS zapisujemy razem czynność, ruch i warunek ochrony. Następnie sprawdzamy również ruch powrotny układu wyrzutu. Samo słowo „prasowanie” nie obejmuje wszystkich sytuacji, które pojawią się przy odbiorze beli.
Przywołane wydanie EN 16500 odsyła do EN ISO 13849-1:2008. Ten związek wydań trzeba uwzględnić przy doborze norm. PLr d z opisanego przypadku nie staje się przy tym wspólną oceną całej belownicy.
W zatrzymanej strefie materiał nadal jedzie
Teraz operator usuwa zator między dwiema maszynami. Napędy w jego strefie stoją. Sąsiednie urządzenie nadal podaje materiał przez otwór technologiczny. Lokalny sterownik wykonał swoje zadanie.
Materiał nie zna podziału dostaw.
ISO 11161:2007 z A1:2010 kieruje uwagę na strefy zadaniowe i interfejsy zintegrowanego systemu produkcyjnego. Punkt 8.1.4 dotyczy ochrony przy przepływie materiału między strefami.
W punkcie 8.8.1 specyfikacja obejmuje między innymi tryby, interakcje ludzi, zachowanie systemu, interfejsy i reakcje na uszkodzenia. Dwa osobne raporty obliczeń zostawiają integratorowi właśnie tę wspólną część zadania.
Trzeba uzgodnić zasięg zatrzymania albo inne odpowiednie zabezpieczenie styku, dostęp i zachowanie urządzeń sąsiednich. Także wtedy, gdy znika potrzebny sygnał. Człowiek usuwający zator potrzebuje ochrony podczas całej interwencji.
Zdanie „interfejs po stronie integratora” dobrze wskazuje adresata pracy. Nie wykonuje jej jednak w żadnej z połączonych maszyn.
Wracamy do naszego zacisku z konkretniejszym pytaniem: w jakiej sytuacji maszyna ma chronić człowieka i jakie zachowanie jest wtedy potrzebne? Normy typu C dostarczają wymagań dla zastosowania, normy typu B pomagają rozwiązać wspólny problem techniczny.
Odnosimy je do rzeczywistego stanowiska w ocenie ryzyka. W SRS zostaje wynik tej pracy, z warunkami potrzebnymi konstruktorowi, automatykowi i osobie prowadzącej sprawdzenie.
Poza cyklem automatycznym człowiek nadal ma pracę do wykonania.
Mocowanie, odbiór beli i usuwanie zatoru wymagają rozpoznania własnych ruchów, dostępów oraz energii. SRS musi doprowadzić ochronę przez całą potrzebną czynność.
Zacisk stanął. Co ma się stać z detalem?
„Po otwarciu osłony maszyna ma się zatrzymać”. Automatyk wskazuje nieruchomy zacisk. Konstruktor patrzy na detal, którego operator nadal nie wypuścił z dłoni.
Obaj widzą tę samą maszynę. Słowo „zatrzymać” pozwoliło im na chwilę nie uzgadniać, co dokładnie ma się przy niej wydarzyć.
W specyfikacji zapisujemy więc nazwę funkcji, jej związek z zagrożeniem, zdarzenie wyzwalające i reakcję inicjowaną przez wyjścia. Wymieniamy konkretne ruchy oraz obszar ochrony. Teraz można rozstrzygnąć ich zatrzymanie i wymagany stan po zatrzymaniu.
Ręczne ustawianie przy dostępie dostaje własne wymagania, zgodne z wybraną koncepcją ochrony. Osobno opisujemy, że w trybie automatycznym otwarta osłona ma uniemożliwiać uruchomienie wskazanych niebezpiecznych ruchów.
Zatrzymanie i zapobieganie nieoczekiwanemu uruchomieniu mogą korzystać ze wspólnych podsystemów. Każda funkcja potrzebuje jednak czytelnego opisu i sprawdzenia. Operator nie przestaje potrzebować ochrony, gdy do układu przyjdzie następne polecenie.
Znów pada propozycja: wyłączmy wszystko
Na schemacie pomysł wygląda przekonująco. Wyłączamy wyjścia, znika energia, sprawa wydaje się zamknięta. Konstruktor dokłada warunek: załóżmy, że przy utracie ciśnienia zacisk może zwolnić część.
Właśnie przestaliśmy rozmawiać wyłącznie o zatrzymaniu ruchu. Trzeba jeszcze rozstrzygnąć utrzymanie obciążenia i czas zachowania wymaganego stanu. Komenda wyłączenia nie odpowie, co po jej wykonaniu podtrzyma detal.
SRS opisuje fizyczny stan wynikający z oceny ryzyka: zatrzymane ruchy i potrzebne utrzymanie części. Jeśli jest też oś pionowa obciążona grawitacyjnie, dochodzi ochrona przed opadaniem. Projekt ma dopiero pokazać, jak te wymagania wykonać.
Zespół przechodzi przez zanik zasilania, niedopuszczalne wahania i powrót energii. Dla każdej sytuacji ustala zachowanie układu. Dzięki temu przywrócenie ciśnienia lub napięcia nie pozostaje nieopisanym fragmentem sekwencji.
Osobno rozpatruje wykrycie defektu: reakcję prowadzącą do stanu zapewniającego bezpieczeństwo oraz potrzebne utrzymanie tego stanu do naprawy. Przy równocześnie aktywnych funkcjach rozstrzyga pierwszeństwo i konflikty. Zatrzymanie nie może bez oceny pozbawić obciążenia wymaganej ochrony.
Czujnik już odpowiedział. Mechanika potrzebuje czasu
Człowiek nie będzie czekał przy osłonie tak długo, jak wygodnie mechanizmowi. Sięga w określone miejsce. Zespół wraca więc do jego położenia, możliwości dostępu i czasu potrzebnego na osiągnięcie wymaganego stanu.
Automatyk pokazuje czas reakcji czujnika. Dalej pracują jeszcze logika, komunikacja, elementy wykonawcze i mechanika. SRS potrzebuje wymagania dotyczącego całkowitego czasu zadziałania maszyny, wraz z zatrzymywaniem ruchu.
Przy rozmieszczaniu urządzeń ochronnych według ISO 13855 potrzebne są właściwe dane o zatrzymywaniu i warunki ich oceny. Obciążenie, narzędzie, temperatura oraz zużycie mogą zmienić wynik. Parametr katalogowy nie załatwia pomiaru zachowania całej maszyny.
Jeżeli danych brakuje, zostaje otwarte ustalenie: kto je dostarczy i które decyzje czekają na wynik. Roboczą wartość trzeba później potwierdzić albo zmienić projekt.
Inaczej wykonawca zbuduje osłonę wokół liczby, którą automatyk uważał za przypuszczenie. Na odbiorze obaj zgodnie potwierdzą, że czas został omówiony.
Operator zmienia tryb, potem zamyka drzwi
Detal wciąż czeka na zamocowanie. Jeżeli koncepcja dopuszcza ruch przy dostępie, SRS określa tryb i warunki tego ruchu. Wybrany tryb ma być jednoznaczny, a przejście między trybami zachować potrzebną ochronę.
Sam wybór trybu nie rozpoczyna ruchu. Nazwa „serwis” na ekranie również niczego przy zacisku nie zabezpiecza; dopiero ustalone zachowanie daje automatykowi wymaganie do wykonania.
Przy tej okazji rozpatrujemy czyszczenie i naprawę uchwytu. Część prac wymaga odizolowania maszyny od wszystkich źródeł zasilania oraz zabezpieczenia urządzeń odłączających w położeniu odłączenia. Inne potrzebują odpowiednio chronionego ruchu. Wyniki oceny ryzyka tych czynności muszą znaleźć odzwierciedlenie w wymaganiach.
Rozwiązania do ustawiania części nie przenosimy automatycznie na każdą naprawę. Człowiek może wtedy zajmować inne miejsce i dosięgać innych zagrożeń. Zmiana nazwy czynności w instrukcji nie zmienia jego dostępu do mechanizmu.
Po mocowaniu operator zamyka osłonę. Czujnik potwierdza położenie drzwi. Nie odpowiada jednak sam z siebie, czy ktoś został w strefie ani czy działają pozostałe środki ochronne. Przy drugiej osobie te pytania stają się szczególnie istotne.
SRS prowadzi powrót do pracy przez określone warunki resetu i ponownego uruchomienia. Jeżeli ocena ryzyka wskazuje potrzebę ręcznego resetu, wyznaczamy miejsce poza strefą zagrożenia, z potrzebną widocznością i bez możliwości aktywacji ze strefy.
Reset jest zamierzonym działaniem odrębnym od uruchomienia. Przyjęcie sygnału wymaga monitorowania jego zmiany. Sam reset nie wywołuje zagrożenia, a odpowiednie funkcje bezpieczeństwa muszą już być realizowane i techniczne środki ochronne muszą działać.
Przy niewidocznej części strefy potrzebne jest właściwe rozwiązanie, na przykład sekwencja resetowania lub monitorowanie. Norma dopuszcza też uzasadniony reset automatyczny, między innymi przy ciągłym wykrywaniu osoby, które zapobiega sytuacji zagrożenia.
W dokumencie zostaje wybór dla konkretnego zastosowania. Jeśli reset ma być funkcją bezpieczeństwa, trzeba również określić jego PLr. Nie zakładamy, że każdy przycisk z tym samym napisem pełni identyczną rolę.
Gdy obok pracuje podajnik, dostawca musi znać wymagany stan podczas dostępu do uchwytu i reakcję na utratę sygnałów. Integrator uzgadnia interfejsy z pozostałymi funkcjami. Samo „wysłano STOP” opisuje nadawcę; w specyfikacji trzeba jeszcze ustalić, jak i kiedy zareaguje odbiorca.
Jeden detal to jeszcze nie warunki całej eksploatacji
Operator pokazał mocowanie raz, ale na zmianie będzie je powtarzał. Zapisujemy częstość przywołania funkcji i działania jej elementów. Dostęp przy każdej części stawia inne wymagania eksploatacyjne niż sporadyczna interwencja.
Dochodzą środowisko, czyszczenie i obsługa, przy których rozwiązanie ma zachować właściwości. Dane urządzeń odnosimy do rzeczywistej intensywności pracy i warunków zastosowania. Także wtedy, gdy identyczny komponent pracuje już w innym stanowisku.
Przed zamknięciem SRS każda funkcja otrzymuje PLr wraz z podstawą: oceną ryzyka albo właściwym wymaganiem normy typu C i jego warunkami. Dla naszego uchwytu liczy się wymaganie dotyczące tego zastosowania.
Osiągnięty PL będzie później oceną realizacji. Teraz zespół ustala, czego od niej wymaga. Podobny zapis w dwóch kolumnach tabeli nie powinien zacierać tej różnicy.
Zapiszmy to tak, żeby następny automatyk nie musiał zgadywać
Załóżmy, że po analizie zespół wybrał mechaniczne gniazdo podpierające detal. Operator może go ułożyć i cofnąć dłonie przed zamknięciem osłony oraz uruchomieniem zacisku. To jeden z możliwych wariantów stanowiska. Jeśli zadanie nadal wymaga ruchu przy otwartym dostępie, potrzebuje odpowiedniej ochrony i własnych wymagań.
Teraz wpiszmy decyzję do karty jednej funkcji. PLr d, 200 ms i pozostałe liczby poniżej są fikcyjnymi danymi przykładu, nie parametrami do skopiowania do maszyny. Własny projekt wymaga uzasadnienia tych wartości oraz zastosowania właściwych wymagań typu C. Karta pozostaje przykładem roboczym, dopóki te dane nie zostaną rozstrzygnięte.
Przykładowa karta SF-01 — fragment SRS dla wariantu z podpartym detalem
| Pole SRS | Przykładowy zapis wymagania | ISO 13849-1:2023 |
|---|---|---|
| Funkcja i powód / SF-01, APP-01 | SF-01: zatrzymanie i uniemożliwienie napędzanego ruchu zacisku podczas dostępu do gniazda. Zadanie TASK-L01: ułożenie detalu 12 kg; HS-01: palce w obszarze szczęk. Powiązanie z oceną ryzyka: RA-L01. | 5.1; 5.2.1.2; 5.2.1.3 a) |
| Zdarzenie wyzwalające / REQ-01 | Żądanie dostępu albo utrata wymaganego stanu zamknięcia/zaryglowania osłony podczas zezwolenia na ruch zacisku. Otwarty dostęp podtrzymuje blokadę ruchu. | 5.2.1.3 b) |
| Wymagany efekt / REQ-02 | Zatrzymać ruch szczęk i uniemożliwić kolejny napędzany ruch podczas dostępu. Nie zezwolić na odryglowanie osłony przed osiągnięciem wymaganych warunków. Detal pozostaje podparty przez niezależne mechaniczne gniazdo. | 5.2.1.3 c) |
| PLr i podstawa / REQ-09 | PLr d — założenie dydaktyczne przypisane w fikcyjnym RA-L01. W projekcie wartość musi wynikać z własnej oceny ryzyka lub właściwego wymagania normy typu C. To nie jest PL osiągnięty przez układ. | 5.2.1.3 d); 5.3 |
| Czas i dostęp / REQ-03 | Do 200 ms — limit przykładowy, od zdarzenia przy osłonie do ustania wskazanego ruchu, łącznie z mechaniką. Osłona pozostaje zaryglowana do spełnienia wszystkich potrzebnych warunków bezpieczeństwa; sama liczba 200 ms nie uzasadnia bezpiecznego dostępu. | 5.2.1.3 e) |
| Tryby pracy / REQ-04 | Praca automatyczna i ręczne ładowanie. W tej wersji stanowiska nie dopuszczamy napędzanego zaciskania przy otwartej osłonie. Jeżeli rzeczywiste zadanie tego wymaga, wracamy do oceny i specyfikacji ochrony. | 5.2.1.3 f) |
| Interfejsy / REQ-05 | Zezwolenie dotyczące zacisku jest tylko jednym warunkiem dostępu. Wymagane są także odpowiednie stany wrzeciona, osi i podajnika, opisane w pozostałych funkcjach. Potwierdzenie odebrania sygnału nie zastępuje wymaganej reakcji. | 5.2.1.3 g) |
| Defekt / REQ-06 | Wykryty defekt wpływający na funkcję blokuje nowy ruch i zezwolenie na dostęp, dopóki nie zostanie osiągnięty wymagany stan. Wymagany stan utrzymujemy do usunięcia odpowiedniego defektu. | 5.2.1.3 h) |
| Energia / REQ-07 | Zanik i powrót energii nie powodują niebezpiecznego ruchu ani uwolnienia podpartego detalu. Gniazdo wymaga osobnego uzasadnienia mechanicznego; nie nadajemy mu PLr tylko dlatego, że znalazło się w tej karcie. | 5.2.1.3 i) |
| Częstość i otoczenie / APP-02, 04 | Przykład: 40 dostępów/h, 16 h/dzień, 250 dni/rok, czyli 160 000 przywołań/rok. Osobno zapisujemy operacje elementów. Założono wnętrze hali, 5–40°C, chłodziwo i wióry; inne warunki wymagają uwzględnienia. | 5.2.1.2; 5.2.1.3 j) |
| Pierwszeństwo / REQ-10 | Żądanie funkcji ma pierwszeństwo przed zwykłym START zacisku. Współdziałanie z pozostałymi funkcjami nie może pozbawić detalu utrzymania ani dopuścić przedwczesnego dostępu. | 5.2.1.3 k) |
| Norma typu C / APP-03 | Sprawdzamy zakres zastosowania i wymagania dotyczące m.in. mocowania oraz dostępu. Dla tej hipotetycznej obrabiarki rozpatrujemy ISO 16090-1. Dokładne punkty i wynik ich zastosowania muszą zostać zapisane przed zamknięciem SRS. | 5.2.1.3 l) |
| Powrót do pracy / REQ-08 | Po przywróceniu wymaganych stanów: osobny, zamierzony reset i osobne polecenie uruchomienia, zgodnie z przyjętym rozwiązaniem. Zamknięcie osłony, reset i powrót zasilania same nie uruchamiają zacisku. | 5.2.1.3 m) |
| Sprawdzenie i wersja | REQ-01…10 łączymy z odpowiednimi analizami, próbami VT-01…06, projektem i ocenianą konfiguracją. Ocena PL oraz priorytetów wymaga własnych dowodów. Wyniki pozostają niewykonane do właściwego sprawdzenia. Zmiana detalu, trybu lub parametrów wymaga oceny wpływu. | 5.4; 10; 12 a) |
Karta jednej funkcji jest fragmentem SRS. Dochodzą ograniczenia dotyczące maszyny, zadania ludzi, dane wejściowe oceny ryzyka, pozostałe funkcje, interfejsy oraz kontrola dokumentu. Każde „nie dotyczy” wymaga uzasadnienia. Zapis zachowuje też otwarte ustalenia: brakującego PLr czy warunku dostępu nie przykrywamy podpisem pod gotowym formularzem.
Przenieś ten zapis do własnego projektu
Angielski PDF SafetySoftware zawiera opis przypadku, rozwiniętą kartę SF-01, kryteria prób oraz wypełnialne karty projektu, funkcji i powiązań z dowodami. Przykład pokazuje sposób pracy; pola formularza zostawiają miejsce na rzeczywiste decyzje zespołu.
Pobierz przykład i formularz SRS (PDF, EN)
Konstruktor i automatyk potrzebują tych samych ustaleń. Dlatego wymagania mają nazwy, identyfikatory i wersję oraz powiązania z oceną ryzyka. Później dołączą odniesienia do projektu i wyników sprawdzeń.
Można je prowadzić w dokumencie, kartach albo kontrolowanym rejestrze. Norma wymaga treści; nie wskazuje jednego obowiązkowego wzoru tabeli. Dopisek „nie dotyczy” również potrzebuje uzasadnienia dla aplikacji.
Tak zbudowany zapis jest podstawą projektowania według 5.2.1.1, obejmuje wymagania z 5.2.1.3 i trafia do dokumentacji technicznej wymienionej w rozdziale 12 a). Pozwala przekazać pracę między organizacją oceniającą ryzyko a projektantem sterowania.
Użytkownik i integrator otrzymują informacje potrzebne do swoich zadań. Nie wynika stąd automatyczny obowiązek przekazania całej wewnętrznej dokumentacji projektowej. Zakres informacji trzeba odnieść do obowiązków i danego zastosowania.
Gdy automatyk wróci do programu, znajdzie wymagania dla tej samej dłoni, zacisku i kolejnych stanów. Przy zmianie uchwytu będzie też wiadomo, dlaczego je przyjęto. Ustalenia przestały zależeć od pamięci uczestników spotkania.
SRS ma przeprowadzić ochronę przez całą czynność, także gdy znika energia.
Wyzwolenie, ruch, utrzymanie detalu, czas zadziałania maszyny i powrót do pracy muszą mieć uzgodnione wymagania. Ich zapis w dokumentacji technicznej daje projektantowi podstawę realizacji, a walidacji — kryteria sprawdzenia.
Teraz trzeba wykonać to, co zapisaliśmy
Wiemy, jak operator ustawia część, które ruchy są potrzebne i czego oczekujemy po utracie energii. Funkcje dostały PLr. Ktoś może już zaznaczyć na spotkaniu, że bezpieczeństwo jest załatwione.
Na razie uzgodniliśmy, co trzeba zrobić. Maszyna jeszcze tego nie wykonuje.
Dobieramy architekturę i podsystemy, opracowujemy logikę oraz parametry. Sprawdzamy obciążenia, diagnostykę, środowisko i współpracę z mechaniką. Zawór ma doprowadzić układ do wymaganego stanu; funkcja napędu musi odpowiadać rzeczywistemu ruchowi.
Uchwyt także trzeba wykonać i sprawdzić. To jego geometria ma umożliwić wybrany sposób mocowania. Poprawnie zrealizowany warunek w programie nie zastąpi części, która miała utrzymać detal bez podparcia dłonią.
W tej pracy wcześniej zwalidowane podsystemy oszczędzają czas. ISO 13849-1 dopuszcza ich wykorzystanie przy spełnieniu warunków integracji. Zachowujemy dane i ograniczenia zastosowania, a następnie uzasadniamy połączenie pełnej funkcji.
To właściwy moment na sprawdzone klocki: znamy wymaganie i wiemy, których właściwości od nich oczekujemy. Możemy też ustalić, co pozostaje do wykazania po zamontowaniu ich w maszynie.
Przy ewaluacji osiągniętego PL sprawdzamy relację do PLr, niezawodność, architekturę, diagnostykę i uszkodzenia o wspólnej przyczynie. Dochodzą uszkodzenia systematyczne, oprogramowanie, środowisko oraz ergonomia. Zakres obliczeń omawiamy w artykule o PL według ISO 13849-1.
Program może mimo to zezwalać na ruch w niewłaściwym trybie. Model niezawodności pozostanie poprawnie opisany, a błąd będzie w logice dopuszczenia ruchu. Trzeba odnaleźć i sprawdzić właśnie ten warunek.
Tak samo wykluczenie defektu wymaga podstawy ważnej przy rzeczywistym montażu i użytkowaniu. Narzędzie obliczeniowe nie obejrzy uchwytu po zmianie dokonanej na hali. Do jego modelu ktoś musi jeszcze dostarczyć prawdziwe założenia.
W deklaracji trzeba mieć za sobą całą wykonaną pracę
Sama SRS nie wystarcza do zadeklarowania pełnej zgodności z ISO 13849-1. Potrzebne są właściwe działania projektowe, weryfikacyjne, walidacyjne i dokumentacyjne, odpowiadające wszystkim mającym zastosowanie wymaganiom.
Numer normy wpisuje się szybko. Wykonanie pracy, którą ten wpis ma odzwierciedlać, zajmuje trochę więcej miejsca niż jeden wiersz deklaracji.
Brak ISO 12100 na liście norm sam w sobie nie dowodzi pominięcia oceny ryzyka. Świadczą o niej treść, ustalenia i wykorzystanie w projekcie. Z kolei zlecenie „proszę zrobić PL d”, bez zadania i potrzebnej ochrony, nadal pozostawia brakujące dane wejściowe.
Po wykonaniu rozwiązania wracamy do oceny ryzyka całej maszyny. Sprawdzamy zamierzone zmniejszenie ryzyka i to, czy uzyskano je bez wprowadzenia nowych zagrożeń.
Zmieniony uchwyt może lepiej trzymać część, ale wymagać innego sposobu wyjęcia. Tę następną czynność również analizujemy. Iteracyjny proces ISO 12100 wraca do rzeczywistej maszyny, zamiast kończyć się na poprawionym rysunku.
SRS otwiera pracę, którą później trzeba wykazać.
Dobór, integracja, ocena PL, weryfikacja i walidacja mają dowieść, że wykonana funkcja spełnia wymagania w przewidzianych warunkach. Sam dokument tego nie wykonuje.
Maszyna stanęła. Próba jeszcze się nie skończyła
Ponownie otwieramy osłonę. Tym razem wiemy, które ruchy mają ustać, w jakim czasie i jak ma być utrzymany detal. Sterownik zgłasza przewidziany stan. Osoba prowadząca sprawdzenie patrzy również na mechanizm.
Trzeba potwierdzić ruch, obciążenie, utrzymanie i powrót do pracy. Każdy z tych skutków odnosimy do konkretnego wymagania. Samo wskazanie na ekranie jeszcze nie opisuje wyniku całej próby.
Ta praca zaczęła się przed budową maszyny. Punkt 5.4 wymaga przeglądu SRS przed projektowaniem: czy funkcje odpowiadają ocenie ryzyka i czy zapis zawiera potrzebne wymagania?
Walidacja SRS według 10.2 pozwala wychwycić przeoczenia, błędy i rozbieżności wobec zastosowania, warunków oraz dającego się przewidzieć użytkowania nieprawidłowego. Pominięte zadanie znacznie wygodniej znaleźć wtedy, gdy uchwyt istnieje jeszcze na rysunku.
Walidacja realizacji sprawdza spełnienie SRS i pozostałych właściwych wymagań. Korzysta z analiz i badań prowadzonych według planu. Analizy mogą ruszyć równolegle z projektowaniem; końcowe próby fizycznej maszyny domykają odpowiednią część tej pracy.
Sprawdźmy także ruch, którego potrzebuje operator
Przy osłonie sprawdzamy wyzwolenie, reakcję, czas i utrzymanie wymaganego stanu. Potem przechodzimy do ustawiania detalu. Jeżeli SRS dopuszcza ruch przy dostępie, badamy go właśnie w tych warunkach.
Dalej są zmiana trybu, zakończenie czynności, reset i ponowne uruchomienie. Operator ma przejść cały uzgodniony przebieg pracy. Jedno udane otwarcie drzwi nie odtwarza jeszcze tego, co zrobi przy kolejnych częściach.
W linii obserwujemy również drugą maszynę. Potwierdzenie odebrania sygnału przez jej sterownik jest częścią sprawdzenia. Pozostaje wykazać wymagany stan połączonego systemu, z jego opóźnieniami i wzajemnym oddziaływaniem urządzeń.
Osobne protokoły dostawców nie zatrzymają materiału na styku. To zachowanie trzeba sprawdzić w uzgodnionym zakresie integracji.
Plan obejmuje też odpowiednie analizy i badania zachowania układu przy defektach, utracie sygnałów oraz zmianach zasilania. Ich zakres wynika z normy i projektu. Badania wymagają przygotowanych, kontrolowanych warunków oraz zabezpieczenia kompetentnych osób, które je prowadzą.
Przy naszym uchwycie wraca wtedy pytanie o utrzymanie części po przerwaniu normalnej pracy. Zatrzymanie ruchu i zachowanie obciążenia muszą spotkać się w tym samym wyniku, a nie w dwóch niezależnych opisach.
W protokole zostają warunek próby, kryterium, wynik i konfiguracja maszyny. Przy pomiarze czasu także metoda oraz warunki. Następna osoba ma wiedzieć, jakie obciążenie zbadano i które zachowanie uznano za prawidłowe.
Podpis pod zdaniem „funkcja działa” zajmuje mniej miejsca. Niestety zostawia następnemu projektantowi znacznie więcej pracy.
Program już poprawiony. Protokół nadal pamięta poprzednią wersję
Automatyk zmienił warunek dopuszczenia ruchu, ale plan próby nadal sprawdza stary. Obie strony mogą zamknąć dokumenty, choć opisują różne konfiguracje. Dlatego wymaganie, projekt i dowody muszą dotyczyć tej samej ocenianej wersji.
Śledzimy zmianę od SRS do odpowiednich wyników i ustalamy wpływ na pozostałe funkcje. Poprawka przy zacisku nie znika z oceny tylko dlatego, że jest już w programie.
Norma zaleca niezależność osób prowadzących walidację od projektowania SRP/CS. Ktoś spoza projektu łatwiej zapyta o założenie, które autor przestał zauważać. Potrzebne są kompetencje, odpowiedni proces i udokumentowane wyniki zgodne z zakresem oceny.
Nie oznacza to powszechnego obowiązku zewnętrznej certyfikacji każdej funkcji. O tym, co wykazano, rozstrzyga wykonana praca i jej zakres.
Kilka miesięcy później przyjeżdża większy detal
Większy detal mieści się na stole. Uchwyt też daje się zamknąć. Na hali pada więc znajome: „przecież maszyna to zrobi”. Zanim sprawdzimy to ruchem, wracamy do ograniczeń dotyczących maszyny.
Punkt 5.3 ISO 12100 obejmuje ograniczenia dotyczące użytkowania, przestrzeni, czasu oraz inne ograniczenia. Dla naszego stanowiska sprawdzamy przewidziane detale i narzędzia, obciążenia, sposób mocowania oraz miejsce potrzebne operatorowi. Sam wymiar stołu nie opisuje dopuszczalnego zastosowania.
Jeżeli nowe zadanie mieści się w ocenionym zakresie, może być przewidzianym przezbrojeniem. Potwierdzamy wtedy, że dla tej konfiguracji nadal są spełnione przyjęte warunki ochrony. Większy detal nie musi oznaczać przebudowy maszyny.
Załóżmy jednak, że operator musi teraz podejść z drugiej strony, niewidocznej od miejsca resetu. Albo nowe narzędzie wydłuża czas zatrzymania ponad wartość przyjętą przy projektowaniu ochrony. Zmieniło się coś, na czym oparto jej skuteczność.
W szafie nie wymieniono ani jednego modułu. Lista komponentów wygląda więc uspokajająco. Tyle że nie zapisano w niej, skąd operator wkłada rękę.
Wracamy do ograniczeń i oceny ryzyka, a z niej do wymagań zapisanych w SRS. Ustalamy wpływ zmiany na projekt i dotychczasowe wyniki. Nowe zadanie dopuszczamy po wdrożeniu potrzebnej ochrony oraz wykonaniu wymaganych sprawdzeń i walidacji.
Samo dopisanie większego detalu do dokumentacji nie uzasadnia rozszerzenia zastosowania.
To samo dotyczy warunków utrzymania ochrony. Jeżeli zależy ona od kontroli, regulacji, wymiany elementu lub określonego czasu użytkowania, zapis musi trafić do osób wykonujących te czynności. Ograniczenia czasowe nie kończą się wraz z uruchomieniem.
Dla serwisu SRS powiązana z oceną ryzyka i dokumentacją projektu pozwala odtworzyć te decyzje. Bez zapisu zostaje telefon do człowieka, który kilka lat temu pisał program, i nadzieja, że pamięta, dla jakiej pracy przyjęto dany warunek.
Przebudowa potrzebna do nowego zastosowania może też okazać się istotną modyfikacją. Sam większy detal ani przekroczenie dotychczasowych ograniczeń jeszcze o tym nie przesądzają. Rozstrzygają kryteria prawne dotyczące dokonanej zmiany.
Rozporządzenie (UE) 2023/1230 określa je w art. 3 pkt 16, a obowiązki podmiotu dokonującego istotnej modyfikacji — w art. 18. Przepisy te stosuje się od 20 stycznia 2027 r. Aktualizacja SRS jest tylko częścią pracy, którą taka modyfikacja może uruchomić.
Na odbiorze sprawdzamy to, co obiecaliśmy w SRS.
Sprawdzamy ruchy, energie, dostęp i interfejsy, z których korzysta człowiek. Zmiana zadania lub warunków wymaga oceny, czy dotychczasowa ochrona i jej uzasadnienie pozostają właściwe.
Zanim zamówisz następny komplet
Wróćmy do operatora z detalem. Przejście jednej czynności odsłoniło brak, którego nie było w katalogu urządzeń ani w raporcie PL. Trzeba było uzgodnić oprzyrządowanie, dostęp, ruchy i zachowanie po utracie energii.
Z tych decyzji powstało zadanie projektowe. Teraz można dobrać sterowanie i sprawdzić, czy wykonuje potrzebną ochronę. Certyfikaty oraz obliczenia mają do czego się odnosić.
Przy następnej maszynie przejdź tę drogę z osobą znającą pracę stanowiska. Znajdź zadanie i jego zagrożenia w ocenie ryzyka, wymagania w SRS, a potem odpowiedzi w projekcie oraz wynikach sprawdzeń. Wtedy widać, gdzie urwało się uzasadnienie.
A gdy przy gotowej szafie padnie pytanie, czy bezpieczeństwo jest już zrobione, pokaż, jak operator ma zamocować detal i co go przy tym chroni. To zwykle bardzo skutecznie skraca dyskusję o samych komponentach.
Źródła i zakres przywołanych przykładów
Podstawą są wskazane wydania i punkty norm. Przykłady objaśniają sposób formułowania wymagań; każda projektowana maszyna wymaga oceny właściwego zakresu zastosowania.
1. ISO 13849-1:2023, Safety of machinery — Safety-related parts of control systems — Part 1: General principles for design: 4.1–4.6, 5.1–5.4, w tym 5.2.1.3 i 5.2.2–5.2.3, rozdziały 6–10 i 12–13.
2. ISO 12100:2010, Safety of machinery — General principles for design — Risk assessment and risk reduction: rozdziały 4–6, w szczególności 5.3–5.4.
3. ISO 16090-1:2022, Machine tools safety — Machining centres, milling machines, transfer machines — Part 1: Safety requirements: 5.2.5.5, mocowanie detalu.
4. EN 16500:2014, Machines for compacting waste materials or recyclable fractions — Vertical baling presses — Safety requirements: 5.1.4 i 5.2.2. Zakres: określone zamknięte belownice pionowe z ręcznym wiązaniem. Przywołane wymagania tego wydania odsyłają do EN ISO 13849-1:2008.
5. ISO 11161:2007 z Amd 1:2010, Safety of machinery — Integrated manufacturing systems — Basic requirements: 7.1–7.2, 8.1.4 i 8.8–8.10. Przykład dotyczy zadań, interfejsów i zasięgu ochrony w zintegrowanym systemie produkcyjnym.
6. ISO 13855:2024, Safety of machinery — Positioning of safeguards with respect to the approach of the human body: załączniki B i D, dane oraz warunki oceny zatrzymywania.
7. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1230 w sprawie maszyn: art. 3 pkt 16 — definicja istotnej modyfikacji; art. 18 — obowiązki podmiotu dokonującego istotnej modyfikacji; art. 54 — terminy stosowania przepisów.