Techniczne środki ochronne w maszynach. Papier przyjmie każdą normę — maszyna nie

Najgorszym miejscem do szukania norm dla własnej maszyny jest deklaracja zgodności podobnej maszyny. A właśnie od niej zaskakująco często zaczyna się projektowanie technicznych środków ochronnych.

Ocena ryzyka nie jest jeszcze zamknięta. Nie wiadomo, jak operator będzie usuwał zacięcia, czy można sięgnąć ponad osłoną ani czy maszyna zdąży się zatrzymać przed dostępem do zagrożenia. Mimo to ktoś już pyta:

— Jakie normy wpisujemy do deklaracji?

Odpowiedź leży na biurku. EN ISO 12100, odpowiednia norma typu C, kilka znajomo brzmiących norm B. Kopiuj, wklej, podpisz. Dokument wygląda profesjonalnie.

Tylko co właściwie właśnie podpisano?

Wpisując normę bez ograniczenia jej zastosowania, producent nie oświadcza jedynie, że zna jej numer. Oświadcza, że jej wymagania rzeczywiście zastosował. Że zakres normy typu C odpowiada konkretnej maszynie. Że uwzględniono objęte nią zagrożenia. Że zrealizowano także właściwe postanowienia norm B włączone przez odesłania normatywne. I że skuteczność powstałego rozwiązania została zweryfikowana.

Gdzie jest ślad tych decyzji? Które zagrożenie doprowadziło do wyboru osłony? Dlaczego potrzebny jest rygiel? Skąd wynika wymagana odległość? Jaki PLr powinna osiągnąć funkcja bezpieczeństwa? Czym potwierdzono, że cały system zadziała wystarczająco szybko?

Jeżeli nie potrafimy odpowiedzieć, lista norm nie jest dowodem zgodności. Jest listą technicznych oświadczeń, których producent nie umie jeszcze obronić.

Papier przyjmie każdą normę. Maszyna nie.

Od wpisania EN ISO 13857 osłona nie zacznie zapobiegać sięganiu do strefy niebezpiecznej. Numer EN ISO 14119 nie sprawi, że blokada będzie odporna na obchodzenie. Dopisanie EN ISO 13849-1 nie zapewni funkcji bezpieczeństwa wymaganego PL. Każda z tych norm musi pozostawić ślad w konstrukcji, obliczeniach, badaniach i ocenie ryzyka.

Na tym właśnie polega drugi krok redukcji ryzyka według EN ISO 12100. Nie na tworzeniu bibliografii do deklaracji, lecz na zaprojektowaniu całego systemu technicznych środków ochronnych — i zbudowaniu dowodu, że system rzeczywiście ogranicza ryzyko.

Techniczne środki ochronne w maszynach. Co pozostało po kroku pierwszym?

Maszyna nadal musi ciąć. Prasa nadal musi wytworzyć siłę. Robot nadal musi wykonać ruch. Walce nadal muszą wciągnąć materiał, a obrabiany element może pozostać gorący jeszcze długo po zakończeniu procesu.

Gdyby usunąć każdą z tych właściwości, razem z zagrożeniem mogłaby zniknąć funkcja maszyny.

W pierwszej części cyklu sprawdzaliśmy, czy ryzyko można zmniejszyć przez zmianę geometrii, energii, technologii albo zadań wykonywanych przez człowieka. Czy miejsce zgniecenia można usunąć? Czy ruch może być wolniejszy? Czy punkt regulacji da się przenieść? Czy operator w ogóle musi wkładać ręce do tej części maszyny?

Dopiero gdy te możliwości zostały rzeczywiście przeanalizowane, a ryzyko nadal nie jest dostatecznie zmniejszone, dochodzimy do drugiego kroku.

Nie dlatego, że konstrukcja została zatwierdzona.

Nie dlatego, że model trafił już do produkcji.

I nie dlatego, że łatwiej przykręcić osłonę, niż jeszcze raz otworzyć projekt.

Zamrożony model 3D nie jest dowodem wykonania kroku pierwszego.

Granica przebiega gdzie indziej. Dalsze zmniejszanie ryzyka przez zmianę konstrukcji nie jest praktycznie wykonalne albo pozbawiłoby maszynę funkcji, dla której powstała. Zagrożenie pozostaje, więc trzeba zapobiec narażeniu człowieka lub przerwać je, zanim dojdzie do szkody.

Teraz pytania stają się bardzo konkretne.

Czy podczas normalnej pracy człowiek w ogóle potrzebuje dostępu? Czy wchodzi do strefy tylko podczas wymiany narzędzia, czy sięga do niej co kilkanaście sekund? Jak długo po zatrzymaniu napędu utrzymuje się ruch niebezpieczny? Czy maszyna może wyrzucić materiał? Czy za urządzeniem ochronnym może pozostać człowiek? Co będzie robił podczas czyszczenia, przezbrajania i usuwania zacięć?

Od odpowiedzi zależy dobór środków ochronnych w maszynach.

Osłona stała może być właściwa tam, gdzie dostęp nie jest potrzebny. Przy częstych ingerencjach może szybko stać się przeszkodą, którą trzeba zdejmować. Wtedy potrzebna może być osłona ruchoma połączona z urządzeniem blokującym. Jeżeli zagrożenie nie ustaje przed dotarciem człowieka do strefy niebezpiecznej, samo blokowanie może nie wystarczyć — osłona będzie wymagała ryglowania.

Kurtyna świetlna może wykryć człowieka i wywołać zatrzymanie. Nie zatrzyma jednak wyrzuconego przedmiotu, nie powstrzyma rozbryzgu cieczy i nie ograniczy emisji pyłu. Osłona może odgrodzić strefę, ale jeżeli uniemożliwi wykonanie regularnej regulacji, stworzy silną zachętę do obchodzenia urządzenia blokującego.

Nie istnieje więc „dobre zabezpieczenie” w oderwaniu od zadania i zachowania maszyny.

Na tym etapie wiemy już, jakie ryzyko pozostało i przed czym trzeba chronić człowieka. Nadal jednak nie wiemy, czy wystarczy jedna norma.

Najczęściej nie wystarczy.

Jedna osłona nie oznacza jednej normy

Na rysunku są jedne przezroczyste drzwi. W deklaracji pojawia się EN ISO 14120.

Temat zamknięty?

Nie. Zamknięto jedynie dostęp do strefy niebezpiecznej. I nawet skuteczności tego rozwiązania jeszcze nie wykazano.

Załóżmy, że po wykonaniu pierwszego kroku pozostało zagrożenie powodowane ruchem maszyny. Nie można go usunąć ani dostatecznie ograniczyć bez utraty funkcji technologicznej. Dostęp jest jednak potrzebny podczas przezbrajania, czyszczenia i usuwania zakłóceń. Zastosowano więc osłonę ruchomą połączoną z urządzeniem blokującym.

Pierwsze pytanie dotyczy samej osłony. Czy wytrzyma przewidywane uderzenie? Czy zatrzyma wyrzucony element? Czy jej mocowanie pozostanie pewne po tysiącach cykli otwierania? Czy nie utworzy nowych miejsc zgniecenia przy zawiasach? Czy zastosowany materiał zachowa wymagane właściwości w temperaturze panującej przy maszynie?

Tym obszarem zajmuje się EN ISO 14120.

Tyle że solidne drzwi nadal mogą nie chronić człowieka. Wystarczy, że można sięgnąć ponad nimi, przejść pod dolną krawędzią albo wsunąć rękę przez otwór. Wymiary osłony i jej położenie trzeba więc powiązać z odległościami uniemożliwiającymi dosięgnięcie strefy niebezpiecznej. Tutaj pojawia się EN ISO 13857, a w określonych konstrukcjach również wymagania dotyczące szczelin zapobiegających zgnieceniu.

To nadal nie wszystko.

Co ma się wydarzyć po otwarciu drzwi? Czy ruch niebezpieczny ustaje dostatecznie szybko? Czy człowiek może otworzyć osłonę i dotrzeć do zagrożenia, zanim maszyna się zatrzyma?

Jeżeli zagrożenie ustaje przed uzyskaniem dostępu, wystarczająca może być osłona blokująca. Jeżeli trwa dłużej, może być potrzebne ryglowanie, które uniemożliwi otwarcie osłony do chwili ustania zagrożenia. Sposób działania urządzenia blokującego, zasady ryglowania oraz ograniczanie możliwości obchodzenia opisuje EN ISO 14119.

Samo urządzenie blokujące nie zatrzymuje jednak maszyny. Przekazuje informację o położeniu osłony. Sygnał musi zostać odebrany przez część systemu sterowania związaną z bezpieczeństwem, przetworzony, a następnie doprowadzić elementy wykonawcze do stanu bezpiecznego.

Co się stanie po uszkodzeniu jednego styku? Czy zespawany stycznik zostanie wykryty? Czy pojedyncze uszkodzenie może pozostać niezauważone aż do następnego żądania zatrzymania?

Wymagany poziom zapewnienia bezpieczeństwa PLr dotyczy całej funkcji bezpieczeństwa, a nie samego wyłącznika zamontowanego przy drzwiach. Funkcję trzeba zaprojektować według EN ISO 13849-1 albo EN IEC 62061, a następnie zwalidować. Deklarowane parametry urządzenia blokującego są w tym obliczeniu potrzebne, ale nie stanowią wyniku dla całej funkcji.

Jedne drzwi uruchamiają więc kilka odrębnych zagadnień technicznych:

Ta tabela nie jest gotowym wykazem norm do wklejenia do deklaracji zgodności. Dwie podobne osłony mogą wymagać innych rozwiązań. Przy jednej maszynie ruch ustanie niemal natychmiast. Przy drugiej koło zamachowe będzie obracało się jeszcze przez kilka sekund. Jedna osłona ma jedynie uniemożliwiać dostęp. Druga musi również zatrzymać wyrzucane przedmioty albo ograniczyć emisję.

Dlatego normy typu B nie tworzą uniwersalnego zestawu przypisanego do osłony. Każda z nich odpowiada na inne pytanie wynikające z oceny ryzyka.

A jeżeli dla danej maszyny istnieje norma typu C, może ona udzielić odpowiedzi, której w normach typu B celowo nie znajdziemy.

Norma typu C nie zastępuje oceny ryzyka ani norm typu B

Najłatwiej zaufać normie, która ma w tytule nazwę naszej maszyny.

Tokarka. Prasa. Podest ruchomy. Maszyna pakująca. Jeżeli istnieje norma typu C dotycząca danej kategorii maszyn, pokusa jest duża: wpisać ją do deklaracji zgodności i uznać, że najważniejsze decyzje zostały już podjęte.

Tyle że tytuł normy nie określa jeszcze zakresu jej zastosowania.

Norma typu C obejmuje określoną kategorię maszyn oraz wskazane w niej znaczące zagrożenia, sytuacje zagrożenia i zdarzenia niebezpieczne. Może określić wymagany środek ochronny, sposób działania funkcji bezpieczeństwa, wymagany PLr, a nawet metodę badania. Jeżeli jej postanowienia różnią się od wymagań norm typu A lub B, dla maszyn objętych jej zakresem pierwszeństwo mają postanowienia normy typu C.

Ale tylko w zakresie tej różnicy.

I tylko wtedy, gdy analizowana maszyna rzeczywiście mieści się w jej zakresie.

Sama obecność odpowiedniej nazwy na stronie tytułowej nie rozstrzyga jeszcze, czy norma obejmuje dodatkowe wyposażenie, nietypowy sposób użytkowania, połączenie z inną maszyną albo zadanie wykonywane przez człowieka w konkretnym zakładzie. Nie rozstrzyga również zagrożeń, które wprost wyłączono albo których podczas opracowywania normy nie uznano za znaczące dla tej kategorii maszyn.

W tych obszarach producent nadal musi przeprowadzić ocenę ryzyka według EN ISO 12100 i dobrać właściwe rozwiązania techniczne.

Norma typu C nie usuwa również norm typu B. Przeciwnie — bardzo często wskazuje, które z nich trzeba zastosować.

Może wymagać osłony, ale szczegółowe wymagania dotyczące jej konstrukcji pozostawić EN ISO 14120. Może nakazać zastosowanie urządzenia blokującego, odsyłając do EN ISO 14119. Może określić wymagany PLr funkcji, pozostawiając jej zaprojektowanie i walidację normom dotyczącym części systemów sterowania związanych z bezpieczeństwem.

To rozróżnienie jest szczególnie dobrze widoczne w przypadku EN ISO 13849-1. Norma opisuje sposób projektowania części systemów sterowania związanych z bezpieczeństwem, ale nie ustala, jakie funkcje bezpieczeństwa są potrzebne przy konkretnej maszynie ani jaki PLr należy im przypisać. Tę decyzję musi uzasadniać ocena ryzyka albo właściwa norma typu C.

EN 280: nie istnieje jeden PL dla całej maszyny

Jako przykład posłuży nam norma zharmonizowana z Dyrektywą Maszynową typu C  EN 280-1 dotycząca podestów ruchomych przejezdnych nie stwierdza, że cały podest ma osiągać jeden, wspólny poziom zapewnienia bezpieczeństwa.

Zamiast tego wymienia konkretne funkcje.

Blokowanie barierek platformy wymaga co najmniej PL c. Funkcja poziomowania platformy — z określonym w normie wyjątkiem — wymaga PL d. Układy kontroli obciążenia i momentu również otrzymują wymagania odpowiadające ich znaczeniu dla stateczności. Nawet funkcja zatrzymania awaryjnego może wymagać PL c albo PL d, zależnie od tego, czy została wykonana niezależnie od funkcji roboczych, czy korzysta z tych samych części sterowania.

To nie jest tabela parametrów urządzeń.

To wynik analizy konkretnych zdarzeń, które mogą wystąpić podczas użytkowania podestu. Utrata poziomowania może prowadzić do zupełnie innych następstw niż uszkodzenie blokowania barierki. Dlatego norma typu C przypisuje wymagania poszczególnym funkcjom, a nie całej maszynie za pomocą jednego wygodnego symbolu „PL d”.

EN ISO 13849-1 pozwala następnie zaprojektować części systemu sterowania realizujące te funkcje. EN ISO 13849-2 prowadzi do ich walidacji. Norma typu C określiła, co trzeba osiągnąć. Normy typu B opisują, jak należy to wykazać.

Jeszcze wyraźniej widać to w EN 280-2, dotyczącej podestów wyposażonych w urządzenia do podnoszenia ładunków. Dodanie takiego wyposażenia tworzy nowe zależności. Norma wymaga między innymi funkcji blokującej ruch podestu podczas podnoszenia lub opuszczania ładunku i przypisuje jej co najmniej PL c. Odsyła przy tym do wymagań EN 280-1 dotyczących funkcji bezpieczeństwa.

Jedna zmiana wyposażenia. Nowa sytuacja zagrożenia. Nowa funkcja bezpieczeństwa. Kolejne wymagania norm typu B.

Właśnie tak należy czytać normę typu C: nie jak gotową deklarację zgodności, lecz jak szczegółowy opis wymagań dla określonej kategorii maszyn. Trzeba sprawdzić jej zakres, znaczące zagrożenia, wymagania szczegółowe oraz wszystkie przywołania normatywne.

Bo producent, który wpisuje do deklaracji normę typu C bez przeczytania jej przywołań normatywnych, może oświadczyć znacznie więcej, niż rzeczywiście zaprojektował i sprawdził.

Domniemanie zgodności maszyn: numer normy w deklaracji nie wystarczy

Deklaracja zgodności wygląda imponująco. EN ISO 12100, norma typu C, kilka norm typu B, podpis, znak CE. Czy to wystarcza?

Gdyby domniemanie zgodności powstawało przez wpisanie numerów norm do deklaracji, najważniejszym narzędziem w procesie oceny zgodności byłoby Ctrl+C.

Tymczasem mechanizm działa dokładnie odwrotnie. Domniemanie zgodności wynika z rzeczywistego zastosowania normy zharmonizowanej, której odniesienie opublikowano w Dzienniku Urzędowym Unii Europejskiej. I tylko w odniesieniu do tych zasadniczych wymagań, które dana norma rzeczywiście obejmuje.

Taką zasadę ustanawia art. 7 ust. 2 dyrektywy 2006/42/WE. Zachowuje ją również art. 20 rozporządzenia 2023/1230, wyraźnie odnosząc domniemanie także do zastosowanych części normy.

Deklaracja nie tworzy więc zgodności. Powinna jedynie potwierdzać wynik przeprowadzonej wcześniej pracy.

Aktualna norma nie zawsze jest normą zharmonizowaną

Przed wpisaniem normy do deklaracji trzeba sprawdzić coś więcej niż jej tytuł i rok wydania.

Czy jej odniesienie zostało opublikowane dla właściwego aktu prawnego? Czy właśnie to wydanie normy znajduje się w wykazie? Czy publikacji nie towarzyszy ograniczenie domniemania zgodności? Jakie wymagania zasadnicze obejmuje norma według załącznika ZA? Czy jej zakres rzeczywiście odpowiada projektowanej maszynie?

Można zastosować dokument technicznie aktualny i bardzo wartościowy, który nie daje jeszcze domniemania zgodności na podstawie danego aktu prawnego. Można również zastosować normę zharmonizowaną, ale tylko częściowo. Wtedy domniemanie obejmuje wyłącznie zastosowane postanowienia i związane z nimi wymagania zasadnicze.

Sformułowanie „maszyna jest zgodna z normą” może zatem oznaczać bardzo dużo — albo prawie nic. Wszystko zależy od tego, co faktycznie wykonano i sprawdzono.

Co producent oświadcza, wpisując normę?

Jeżeli producent wskazuje normę bez żadnego zastrzeżenia, organ nadzoru rynku może przyjąć, że zastosowano wszystkie właściwe postanowienia tej normy. Jeżeli wykorzystano ją tylko częściowo, zakres zastosowania powinien zostać jednoznacznie określony. Zwraca na to uwagę Przewodnik Komisji Europejskiej do dyrektywy maszynowej, w szczególności §110 i §383.

To szczególnie ważne przy normach typu C.

Norma typu C może odsyłać normatywnie do szeregu norm typu B. Pełne zastosowanie normy C oznacza wówczas konieczność uwzględnienia właściwych postanowień tych dokumentów. Nie znaczy to jednak, że każdą przywołaną normę typu B należy bezmyślnie przepisać jako osobną pozycję do deklaracji.

Deklaracja zgodności nie jest bibliografią projektu.

Jeżeli jednak norma typu C wymaga zastosowania określonych zasad projektowania osłon, urządzeń blokujących albo części systemu sterowania związanych z bezpieczeństwem, producent nie może tych wymagań pominąć, a następnie oświadczyć pełnej zgodności z normą C.

Częściowe zastosowanie normy jest dopuszczalne. Niedopuszczalne jest przedstawianie go jako pełnego.

Najbardziej niebezpieczna jest więc deklaracja skopiowana z maszyny „prawie takiej samej”.

Podobny wygląd nie oznacza takich samych zagrożeń. Ten sam rodzaj osłony nie oznacza takiego samego sposobu dostępu. Zbliżony układ sterowania nie oznacza tego samego wymaganego poziomu zapewnienia bezpieczeństwa. Nawet właściwa norma typu C może mieć inny zakres zastosowania niż ten, który ktoś założył na podstawie nazwy maszyny.

Jak sprawdzić, czy wykaz norm jest prawdziwy?

Dla każdej pozycji trzeba umieć odpowiedzieć na trzy pytania:

• z jakiego zagrożenia albo wymagania zasadniczego wynika zastosowanie tej normy?
• w którym rozwiązaniu konstrukcyjnym, środku ochronnym lub podsystemie zrealizowano jej wymagania?
• jaki zapis w dokumentacji technicznej, obliczenie albo wynik badania to potwierdza?

Jeżeli nie potrafimy udzielić tych odpowiedzi, numer normy nie jest dowodem. Jest dekoracją (bardzo niebezpieczną z punktu widzenia przepisów i odpowiedzialności bowiem producent oświadcza nieprawdę! ).

Wykaz norm powinien dać się odtworzyć z oceny ryzyka, projektu i wyników weryfikacji. Jeżeli proces przebiega w przeciwną stronę, producent nie dobiera norm do maszyny. Próbuje dopasować maszynę do cudzej deklaracji.

Normy typu B dla maszyn: jedna norma, kilka wymagań zasadniczych

Spróbujmy przypisać osłonę blokującą z ryglowaniem do jednego wymagania zasadniczego. Najbardziej oczywisty wydaje się punkt 1.4.2.2 dotyczący ruchomych osłon blokujących.

Tylko czy ten punkt odpowiada również za wytrzymałość osłony? Czy określa bezpieczną odległość od strefy niebezpiecznej? Czy rozstrzyga, jak układ ma zachować się po uszkodzeniu czujnika? Czy wystarcza do wyznaczenia wymaganego poziomu zapewnienia bezpieczeństwa? A co z nieoczekiwanym ponownym uruchomieniem po zamknięciu drzwi?

Jedna odpowiedź szybko zamienia się w kilka kolejnych pytań.

Osłona jest jednym środkiem ochronnym, ale jednocześnie:

• tworzy fizyczną barierę;
• ogranicza możliwość sięgania do strefy niebezpiecznej;
• współpracuje z urządzeniem blokującym;
• może pozostać zaryglowana do czasu ustania zagrożenia;
• wymusza zatrzymanie funkcji niebezpiecznej;
• uczestniczy w funkcji bezpieczeństwa realizowanej przez układ sterowania;
• musi utrudniać obchodzenie zabezpieczenia;
• nie może spowodować nieoczekiwanego uruchomienia po zamknięciu.

To nie jest nadmiar norm. To jeden rzeczywisty środek ochronny rozłożony na kilka problemów technicznych.

Dlatego norm typu B dla maszyn nie da się przypisywać do wymagań zasadniczych po jednej sztuce. Normy opisują rozwiązania techniczne. Przepisy określają cele, które maszyna ma osiągnąć. Pomiędzy nimi powstaje sieć zależności.

Poniższa tabela pokazuje typowe powiązania z załącznikiem III rozporządzenia 2023/1230 oraz – dla porównania – z załącznikiem I dyrektywy 2006/42/WE.

Ta tabela nie jest gotową listą norm do deklaracji. Jest mapą pytań, które trzeba zadać podczas doboru środków ochronnych w maszynach.

Dokładne wymagania objęte domniemaniem zgodności trzeba każdorazowo sprawdzić w załączniku ZA właściwego wydania normy oraz w publikacji Komisji. Status konkretnego wydania pod dyrektywą określa decyzja wykonawcza 2023/1586 w jej aktualnym brzmieniu.

I tutaj pojawia się pułapka przejścia z dyrektywy na rozporządzenie.

Decyzja 2023/1586 została wydana na potrzeby dyrektywy 2006/42/WE. Nie można zmienić nagłówka deklaracji, pozostawić starego wykazu norm i uznać, że te same dokumenty automatycznie dają domniemanie zgodności z rozporządzeniem 2023/1230. Dla nowego aktu znaczenie będą miały odniesienia opublikowane właśnie na jego potrzeby oraz wskazany w nich zakres.

Także zachowanie tej samej numeracji wymagania nie oznacza, że jego treść pozostała identyczna.

Dobrym przykładem jest punkt 1.2.1. Rozporządzenie rozszerza wymagania dotyczące bezpieczeństwa i niezawodności układów sterowania między innymi o oddziaływania zewnętrzne, możliwość zmiany wartości granicznych funkcji bezpieczeństwa oraz ingerencję w oprogramowanie i konfigurację. Dochodzi również punkt 1.1.9 dotyczący zabezpieczenia przed uszkodzeniem.

Wpisanie EN ISO 13849-1 do deklaracji nie załatwia automatycznie tych nowych zagadnień. Norma może pomóc wykazać bezpieczeństwo funkcjonalne układu sterowania, ale nie wolno bez sprawdzenia przypisać jej całej odpowiedzialności za ochronę połączeń, oprogramowania i konfiguracji maszyny.

Właściwe pytanie nie brzmi więc: „Jaka norma odpowiada punktowi 1.4.2.2?”.

Trzeba zapytać:

• co cały system ochronny ma zrobić;
• które wymagania zasadnicze mają zastosowanie;
• jakie normy opisują poszczególne części rozwiązania;
• oraz czym potwierdzimy, że po ich połączeniu ochrona rzeczywiście działa.

Dopiero z tych odpowiedzi powstaje uzasadniony wykaz norm. Nie odwrotnie.

Zgodny komponent nie potwierdza funkcji bezpieczeństwa maszyny

Kurtyna ma deklarację zgodności. Sterownik bezpieczeństwa posiada odpowiednie parametry. Czujnik osłony pochodzi z właściwej serii, a styczniki mają dane potrzebne do obliczeń.

Czy funkcja bezpieczeństwa została wykazana?

Jeszcze nie.

Sama kurtyna nie zatrzymuje zagrożenia. Wykrywa naruszenie pola ochronnego i przekazuje sygnał. Dopiero układ logiczny musi go prawidłowo przetworzyć, urządzenie wykonawcze odłączyć lub bezpiecznie sterować energią, a maszyna osiągnąć stan, w którym człowiek nie dozna urazu.

Funkcja bezpieczeństwa obejmuje cały ten przebieg:

wykrycie człowieka → przetworzenie sygnału → zadziałanie elementów wykonawczych → ustanie zagrożenia → kontrolowane ponowne uruchomienie

Wystarczy jeden źle rozwiązany fragment, aby wszystkie certyfikaty podzespołów straciły praktyczne znaczenie.

Co dokładnie ma się wydarzyć po otwarciu osłony? Które ruchy mają zostać zatrzymane? Czy trzeba jedynie zapobiec uruchomieniu, czy również utrzymać osłonę zaryglowaną do czasu ustania zagrożenia? Jak zachowa się maszyna po zaniku i powrocie zasilania? Czy zamknięcie osłony może uruchomić ruch? Skąd operator ma zresetować funkcję i czy widzi wtedy całą strefę chronioną?

Jeżeli projekt nie odpowiada na te pytania, nie ma jeszcze zdefiniowanej funkcji bezpieczeństwa. Ma jedynie wybrane urządzenia.

PLr dotyczy funkcji, a nie całej maszyny

Wymagany poziom zapewnienia bezpieczeństwa, czyli PLr, przypisuje się konkretnej funkcji bezpieczeństwa. Może wynikać z właściwej normy typu C albo zostać określony na podstawie oceny ryzyka.

EN ISO 13849-1 nie wybiera za projektanta ani funkcji bezpieczeństwa, ani wymaganego PLr dla konkretnego zastosowania. Norma dostarcza metodę projektowania i integracji części systemów sterowania związanych z bezpieczeństwem. Zastrzeżenie to znajduje się wprost w oficjalnym opisie zakresu ISO 13849-1.

Najpierw trzeba więc ustalić, czego oczekujemy od funkcji. Dopiero później można sprawdzać, czy osiąga ona wymagany PL.

Sterownik zdolny do realizacji funkcji na poziomie PL e nie podnosi automatycznie całego układu do PL e. O wyniku decyduje cały tor: urządzenia wejściowe, logika, elementy wykonawcze, architektura, diagnostyka, odporność na uszkodzenia o wspólnej przyczynie, oprogramowanie i sposób integracji.

Można zastosować bardzo dobry sterownik bezpieczeństwa, a mimo to nie osiągnąć wymaganego poziomu, ponieważ:

• uszkodzenie urządzenia wejściowego nie jest wykrywane;
• dwa kanały mogą zostać uszkodzone z tej samej przyczyny;
• element wykonawczy nie jest monitorowany;
• zastosowany tryb pracy omija część funkcji;
• program nie obsługuje wszystkich przewidywanych stanów;
• reset umieszczono w miejscu umożliwiającym pozostanie człowieka w strefie;
• po przywróceniu zasilania możliwe jest nieoczekiwane uruchomienie.

Deklaracja producenta podzespołu nie obejmuje tych decyzji. Nie potwierdza programu napisanego przez integratora, sposobu ułożenia przewodów, miejsca zamontowania przycisku resetowania ani zachowania gotowej maszyny.

Osiągnięty PL nie odpowiada na każde pytanie

Załóżmy, że obliczenia potwierdziły PL d, dokładnie taki, jakiego wymagano. Czy techniczny środek ochronny jest już skuteczny?

Nadal nie wiemy, czy kurtyna została ustawiona w odpowiedniej odległości. Nie wiemy, czy osłona uniemożliwia sięganie do strefy. Nie wiemy, czy po odłączeniu napędu nie opadnie obciążenie. Nie wiemy nawet, czy rzeczywisty czas zatrzymania odpowiada wartości przyjętej w projekcie.

PL opisuje niezawodność części systemu sterowania realizujących funkcję bezpieczeństwa. Nie zastępuje oceny położenia urządzenia ochronnego, czasu ustania zagrożenia, wytrzymałości osłony ani zachowania człowieka.

Co więcej, EN ISO 13849-1 nie zawiera szczegółowych środków dotyczących cyberbezpieczeństwa. Również IEC 62061 wyłącza ze swojego zakresu szczegółowe środki ochrony przed zagrożeniami cyfrowymi. Nie można zatem uznać, że obliczenie PL albo SIL automatycznie wykazuje spełnienie nowego wymagania 1.1.9 rozporządzenia maszynowego dotyczącego zabezpieczenia przed uszkodzeniem.

Obliczenie nie jest walidacją

Raport z programu obliczeniowego może potwierdzić architekturę, dane niezawodnościowe i wynik PL. Nie otworzy jednak osłony. Nie przerwie wiązki kurtyny. Nie sprawdzi każdego trybu pracy, nie zasymuluje wszystkich przewidzianych uszkodzeń i nie zmierzy czasu zatrzymania gotowej maszyny.

Dlatego walidacja obejmuje analizę i badania. EN ISO 13849-2 wymaga sprawdzenia określonej funkcji bezpieczeństwa, osiągniętej kategorii oraz osiągniętego PL właśnie za pomocą analizy i prób. 

Do chwili przeprowadzenia takiej walidacji mamy zgodne podzespoły i prawdopodobnie poprawny projekt.

Nie mamy jeszcze dowodu, że techniczny środek ochronny rzeczywiście ograniczył ryzyko.

Zgodność potwierdza się pomiarem, nie wpisaniem numeru normy

Projekt wygląda na zamknięty. Funkcja bezpieczeństwa została opisana, PL obliczony, kurtyna ustawiona w odległości wynikającej ze wzoru. Pozostaje wykonać badanie.

I właśnie wtedy może się okazać, że maszyna zatrzymuje się dłużej, niż przyjęto w obliczeniach.

Co robimy? Szukamy korzystniejszego wyniku? Powtarzamy pomiar bez obciążenia? A może uznajemy, że różnica jest niewielka, bo przecież wszystkie urządzenia zostały właściwie dobrane?

Badanie nie służy do potwierdzenia, że projektant miał rację. Ma wykazać, czy rzeczywiście miał rację.

Jeżeli wynik podważa założenia projektu, trzeba zmienić projekt, a nie wynik.

EN ISO 12100 wymaga, aby po zastosowaniu każdego z trzech kroków zmniejszania ryzyka ocenić, czy ryzyko zostało zmniejszone w dostatecznym stopniu. Trzeba również sprawdzić, czy wprowadzony środek nie stworzył nowego zagrożenia albo nie zwiększył innego ryzyka. Norma wymaga ponadto, aby zastosowane środki ochronne były ze sobą zgodne i nie pogarszały warunków pracy w sposób zachęcający do ich obchodzenia.

Nie wystarczy więc zamontować zabezpieczenie. Trzeba jeszcze sprawdzić jego skuteczność w konkretnej maszynie.

Dobieg należy zmierzyć dla całego systemu

Przy kurtynie bezpieczeństwa nie wystarcza czas reakcji podany w jej dokumentacji.

Całkowity dobieg systemu obejmuje co najmniej:

• maksymalny czas od naruszenia pola ochronnego do zmiany stanu wyjścia urządzenia ochronnego;
• maksymalny czas od tej zmiany do rzeczywistego ustania niebezpiecznej funkcji maszyny.

W tej drugiej części mieści się również reakcja układu sterowania, elementów wykonawczych, napędu i mechaniki maszyny. Na wynik mogą wpływać temperatura, czas przełączania zaworów, obciążenie, zużycie hamulca i starzenie się komponentów.

Dlatego nie interesuje nas średnia z kilku najkorzystniejszych prób. Potrzebujemy wartości, która uwzględnia największy przewidywany dobieg oraz niepewność pomiaru.

EN ISO 13855 wiąże odległość minimalną z całkowitym dobiegiem systemu za pomocą zależności:

S = (K × T) + C

gdzie T oznacza całkowity dobieg systemu. Jeżeli T rośnie, wymagana odległość S również rośnie. Norma wskazuje ponadto, że czasy składowe powinny wynikać z projektu i pomiarów, a możliwe pogorszenie zatrzymywania w trakcie użytkowania wymaga monitorowania albo odpowiednio zaplanowanych kontroli. 

To właśnie dlatego zmiana jednego parametru w sterowniku bezpieczeństwa może unieważnić wcześniejsze obliczenie odległości. Kurtyna pozostaje w tym samym miejscu, lecz zmienia się czas reakcji funkcji, a razem z nim odległość jej bezpiecznego ustawienia. Pokazuje to opisany wcześniej przypadek zmiany F-Watchdog Time.

Po badaniu trzeba ponownie spojrzeć na ryzyko

Pozytywny wynik jednej próby nie kończy jeszcze drugiego kroku zmniejszania ryzyka.

Osłona może uniemożliwić dostęp do części ruchomych, ale utworzyć nowe miejsce zgniecenia. Ryglowane drzwi mogą zatrzymać operatora wewnątrz wygrodzenia. Kurtyna może prawidłowo zatrzymywać ruch, lecz pozwalać człowiekowi pozostać niewykrytym między polem ochronnym a maszyną. Zabezpieczenie może też tak utrudniać przezbrajanie, że operatorzy zaczną szukać sposobu na jego obejście.

Dlatego po wykonaniu prób wracamy do oceny ryzyka i pytamy ponownie:

• czy środek działa we wszystkich przewidywanych zadaniach i trybach pracy?
• czy można go ominąć lub pozostawić człowieka po niewłaściwej stronie?
• czy nie powstało nowe zagrożenie?
• czy wynik pozostanie aktualny podczas przewidywanego zużycia maszyny?
• czy dokumentacja wskazuje, kiedy badanie należy powtórzyć?

Sam montaż pokazuje, co zbudowano. Dopiero weryfikacja i ponowna ewaluacja ryzyka pokazują, czy rzeczywiście ograniczono ryzyko.

Siedem błędów w drugim kroku redukcji ryzyka

Najgroźniejsze błędy rzadko wyglądają jak całkowity brak zabezpieczeń.

Przeciwnie. Maszyna ma osłony, kurtyny, sterownik bezpieczeństwa i pokaźną listę norm w deklaracji. Na pierwszy rzut oka wszystko się zgadza.

Dopiero pytanie „dlaczego zastosowano właśnie ten środek?” odsłania problem. Zamiast odpowiedzi pojawia się nazwa urządzenia, numer normy albo dokument producenta podzespołu.

1. Najpierw wybrano kurtynę, później zaczęto szukać uzasadnienia

„Tutaj damy kurtynę” — pada podczas pierwszego przeglądu projektu.

Tylko przed czym ma chronić? Kto i po co będzie zbliżał się do strefy? Czy dostęp jest potrzebny w każdym cyklu, czy wyłącznie podczas czyszczenia? Czy zagrożenie można zatrzymać dostatecznie szybko? Czy człowiek może przejść przez pole ochronne i pozostać za nim niewykryty?

Bez tych odpowiedzi dobór środków ochronnych w maszynach staje się zgadywaniem z katalogiem w ręku.

Kurtyna nie jest nowocześniejszą wersją osłony. Jest innym środkiem, właściwym dla innych warunków dostępu i innego zachowania maszyny.

2. Norma typu C została pominięta albo potraktowana jak odpowiedź na wszystko

Pierwszy błąd polega na tym, że projektant znajduje normę typu C, wpisuje ją do deklaracji i nie sprawdza, do jakich norm typu B odsyła.

Drugi jest dokładnie odwrotny: projektant buduje rozwiązanie wyłącznie z norm typu B, chociaż właściwa norma typu C określa konkretny środek, funkcję bezpieczeństwa, PLr albo metodę badania.

Norma typu C może rozstrzygać wymagania dla danej kategorii maszyn dokładniej niż normy A i B. Nie zwalnia jednak z oceny zagrożeń, których jej zakres nie obejmuje.

Trzeba znać nie tylko tytuł normy C. Trzeba znać jej zakres, wyłączenia i powołania normatywne.

3. Jedna osłona oznaczała jedną normę i jeden ptaszek na liście

Osłona zgodna z EN ISO 14120? Punkt zaliczony.

A możliwość sięgania ponad osłoną? Urządzenie blokujące? Ryglowanie? Czas ustania zagrożenia? Funkcja bezpieczeństwa układu sterowania? Odporność na obejście? Zachowanie po uszkodzeniu?

Jeden środek ochronny może wymagać zastosowania kilku norm typu B, ponieważ każda z nich opisuje inny problem techniczny.

Lista norm nie powinna odzwierciedlać liczby urządzeń. Powinna wynikać z wymagań, które trzeba spełnić.

4. Aktualną normę uznano automatycznie za normę zharmonizowaną

Norma jest nowa, ma europejskie oznaczenie i dotyczy bezpieczeństwa maszyn. Czy daje domniemanie zgodności?

Niekoniecznie.

Trzeba sprawdzić dokładne wydanie opublikowane w Dzienniku Urzędowym Unii Europejskiej, akt prawny, na którego potrzeby odniesienie zostało opublikowane, ewentualne ograniczenia oraz wymagania zasadnicze objęte załącznikiem ZA.

Nawet prawidłowe zastosowanie normy zharmonizowanej daje domniemanie zgodności tylko w zakresie wymagań objętych tą normą. Nie rozciąga się automatycznie na całą maszynę.

5. Dokument podzespołu zastąpił walidację funkcji bezpieczeństwa

Kurtyna ma deklarację. Sterownik ma odpowiednie parametry. Urządzenie blokujące zostało przeznaczone do zastosowań związanych z bezpieczeństwem.

Żaden z tych dokumentów nie potwierdza jednak, że po ich połączeniu maszyna zatrzyma właściwy ruch, zrobi to dostatecznie szybko i nie uruchomi się ponownie w niebezpiecznym momencie.

Producent podzespołu nie odpowiada za program integratora, sposób podłączenia, położenie resetu, elementy wykonawcze ani rzeczywisty czas zatrzymania maszyny.

Zgodne komponenty są warunkiem dobrego projektu. Nie są dowodem poprawności gotowej funkcji.

6. Obliczenie potraktowano jak wynik badania

W dokumentacji napędu znaleziono czas reakcji. Dodano czas kurtyny i sterownika. Wynik wpisano do obliczenia odległości.

Tylko czy uwzględniono obciążenie, hamulec, zawory, program, transmisję, parametry komunikacji, tolerancje i zużycie? Czy czas został zmierzony na gotowej maszynie? Czy przyjęto wartość maksymalną, czy najwygodniejszą?

Obliczenie pokazuje, jak maszyna powinna się zachować. Badanie pokazuje, jak zachowuje się naprawdę.

Jeżeli wyniki są różne, poprawia się projekt — nie protokół.

7. Po zamontowaniu zabezpieczenia nikt nie wrócił do oceny ryzyka

Osłona usunęła dostęp do części ruchomych, ale stworzyła miejsce zgniecenia. Rygiel zatrzymał osobę wewnątrz wygrodzenia. Kurtyna pozwoliła przejść do strefy i pozostać w niej bez wykrycia. Procedura przezbrajania stała się tak uciążliwa, że operatorzy zaczęli omijać zabezpieczenie.

To nie są nowe, niezwiązane problemy. To wynik zastosowania środka ochronnego.

EN ISO 12100 traktuje zmniejszanie ryzyka jako proces iteracyjny. Po wprowadzeniu rozwiązania trzeba sprawdzić nie tylko, czy ograniczyło pierwotne ryzyko, lecz także czy nie stworzyło kolejnych zagrożeń albo nie zwiększyło motywacji do obchodzenia ochrony.

Wspólny mianownik wszystkich siedmiu błędów jest prosty: środek ochronny potraktowano jak urządzenie do zamontowania, a nie jak decyzję wynikającą z oceny ryzyka.

Prawidłowy ciąg zależności wygląda inaczej:

zagrożenie i zadanie człowieka → wymaganie zasadnicze → środek lub funkcja bezpieczeństwa → właściwe normy → projekt → weryfikacja → ponowna ewaluacja ryzyka

Dopiero na końcu powstaje wykaz norm, który można uczciwie wpisać do deklaracji.

Jak przejść krok 2 według EN ISO 12100? Checklista projektanta

Po siedmiu błędach łatwo dojść do wniosku, że potrzebujemy po prostu lepszej listy norm.

Nie potrzebujemy.

Potrzebujemy sposobu, który pozwoli przejść od konkretnego zagrożenia do wyniku badania zastosowanego środka. Jeżeli pomiędzy tymi punktami powstaje luka, dokumentacja może wyglądać profesjonalnie, ale decyzja projektowa pozostaje nieudowodniona.

1. Wróć do ryzyka pozostałego po kroku pierwszym

Których zagrożeń nie udało się wyeliminować za pomocą rozwiązań konstrukcyjnych bezpiecznych samych w sobie?

Nie zapisuj wyłącznie „zagrożenie mechaniczne”. Wskaż sytuację: kto, podczas jakiego zadania, w jaki sposób i do której strefy może uzyskać dostęp. Jakie jest źródło zagrożenia i jakie są jego następstwa.

Innego rozwiązania może wymagać podawanie materiału w każdym cyklu, innego cotygodniowe czyszczenie, a jeszcze innego wejście całym ciałem podczas usuwania zacięcia.

2. Sprawdź, czy istnieje właściwa norma typu C

Nie wystarczy znaleźć normę, której tytuł przypomina nazwę maszyny.

Sprawdź:

• zakres normy i wyłączenia;
• kategorię oraz odmianę maszyny;
• objęte znaczące zagrożenia;
• przewidziane środki ochronne;
• określone funkcje bezpieczeństwa i PLr lub SIL;
• wymagane badania;
• powołania normatywne do norm typu B.

Zapisz również zagrożenia występujące w twojej maszynie, których norma C nie obejmuje. Dla nich nadal trzeba zastosować EN ISO 12100 oraz właściwe normy typu B.

3. Określ wymagany skutek ochronny

Zanim wybierzesz urządzenie, zapisz, co ochrona ma osiągnąć.

Czy trzeba:

• całkowicie uniemożliwić dostęp?
• wykryć zbliżenie lub obecność człowieka?
• zatrzymać ruch przed osiągnięciem strefy?
• utrzymać osłonę zaryglowaną do czasu ustania zagrożenia?
• ograniczyć prędkość, siłę, ciśnienie albo zakres ruchu?
• odłączyć i rozładować energię?
• umożliwić bezpieczne uwolnienie osoby?

Dopiero teraz można rozważać osłonę, kurtynę, skaner, urządzenie blokujące albo kombinację kilku środków.

4. Zdefiniuj każdą funkcję bezpieczeństwa

Nazwa „zatrzymanie po otwarciu drzwi” jest zbyt ogólna.

Opis funkcji powinien wskazywać:

• zdarzenie inicjujące;
• funkcje maszyny stwarzające zagrożenie, które mają zostać zatrzymane;
• wymagany stan bezpieczny;
• największy dopuszczalny czas reakcji;
• tryby pracy, w których funkcja ma działać;
• zachowanie po uszkodzeniu;
• warunki resetowania i ponownego uruchomienia;
• wymagany PLr albo SIL.

Jeżeli norma typu C nie określa wymaganego poziomu, trzeba ustalić go na podstawie oceny ryzyka (graf w EN ISO 13849-1).

5. Rozłóż rozwiązanie na problemy techniczne

Dopiero na tym etapie dobieramy normy typu B dla maszyn.

Osłona uruchamia pytania o konstrukcję, wytrzymałość i możliwość sięgania. Rygiel — o blokowanie, czas ustania zagrożenia i odporność na obejście. Funkcja zatrzymania — o układ sterowania, elementy wykonawcze i walidację. Dostęp serwisowy — o odłączanie energii, środki dostępu i możliwość uwięzienia.

Dla każdej normy sprawdź dokładne wydanie, status w Dzienniku Urzędowym UE, właściwy akt prawny, ograniczenia publikacji oraz zakres wymagań zasadniczych wskazany w załączniku ZA.

6. Oceń rozwiązanie razem z zadaniem człowieka

Czy operator widzi proces? Czy zabezpieczenie nie utrudnia produkcji bardziej, niż jest to konieczne? Jak będzie usuwane zacięcie? Czy po przejściu przez kurtynę można pozostać niewykrytym? Czy reset znajduje się poza strefą i umożliwia jej obserwację? Czy człowiek może zostać zamknięty wewnątrz wygrodzenia?

Techniczne środki ochronne w maszynach muszą być projektowane dla rzeczywistej pracy, a nie dla idealnego cyklu pokazanego podczas odbioru.

7. Ustal kryteria odbioru przed badaniem

Nie można uczciwie oceniać wyniku, jeżeli dopuszczalną wartość ustala się dopiero po wykonaniu pomiaru.

Przed próbami zapisz między innymi:

• największy dopuszczalny czas zatrzymania;
• minimalną odległość urządzenia ochronnego;
• wymagany PL lub SIL;
• dopuszczalne wymiary otworów i prześwitów;
• oczekiwaną reakcję na określone uszkodzenia;
• wymagane zachowanie po resecie i powrocie zasilania;
• zakres działania zatrzymania awaryjnego;
• warunki zwolnienia rygla.

Wynik ma zostać porównany z kryterium. Nie z oczekiwaniem projektanta.

8. Przeprowadź weryfikację i walidację

Zależnie od rozwiązania potrzebne będą:

• obliczenia;
• oględziny i pomiary;
• próby funkcjonalne;
• badanie dobiegu;
• sprawdzenie dostępu do strefy;
• symulowanie przewidzianych uszkodzeń;
• walidacja osiągniętego PL lub SIL;
• sprawdzenie każdego trybu pracy;
• weryfikacja programu oraz parametrów związanych z bezpieczeństwem.

Zapisz nie tylko informację „wynik pozytywny”. Zachowaj warunki badania, użyte przyrządy, konfigurację maszyny, wartości zmierzone oraz osobę przeprowadzającą próbę.

9. Wróć do ewaluacji ryzyka

Czy pierwotne ryzyko zostało zmniejszone w dostatecznym stopniu? Czy środek nie stworzył nowego zagrożenia? Czy współpracuje z pozostałymi zabezpieczeniami? Czy nie zachęca do obchodzenia? Jakie ryzyko resztkowe pozostało i jaką informację trzeba przekazać użytkownikowi?

Jeżeli odpowiedź nie jest zadowalająca, wracamy do projektu. Drugi krok nie kończy się wraz z montażem urządzenia.

Minimalna matryca decyzji i dowodów

Dla każdej istotnej sytuacji zagrożenia dokumentacja powinna zawierać co najmniej:

Najprostszy test jakości dokumentacji?

Wybierz jedno zagrożenie i spróbuj dojść od niego do wyniku konkretnego badania. Następnie zacznij od wyniku badania i sprawdź, jaką decyzję projektową oraz jakie wymaganie potwierdza.

Jeżeli przejście urywa się na numerze normy, dokumentacja przechowuje listę. Nie przechowuje uzasadnienia.

Właśnie taką zależność powinna utrzymywać cyfrowa ocena ryzyka: od zagrożenia, przez środek i wymagania, aż do dowodu skuteczności. To znacznie więcej niż kolejny arkusz z kolumną „zastosowane normy”.

Podsumowanie: lista norm nie projektuje bezpiecznej maszyny

Na początku była deklaracja zgodności skopiowana z podobnej maszyny. Numery norm wyglądały rozsądnie. Każda dotyczyła bezpieczeństwa, każdą można było znaleźć w katalogu, a cały wykaz sprawiał wrażenie kompletnego.

Tylko że lista mogła być poprawna najwyżej przez przypadek.

Drugi krok redukcji ryzyka nie polega na dobraniu osłony, kurtyny albo sterownika bezpieczeństwa. Polega na takim połączeniu technicznych i uzupełniających środków ochronnych, aby w rzeczywistych zadaniach człowieka ryzyko zostało zmniejszone w dostatecznym stopniu.

Najpierw trzeba wiedzieć, jakie ryzyko pozostało po zastosowaniu rozwiązań konstrukcyjnych bezpiecznych samych w sobie. Następnie sprawdzić właściwą normę typu C, określić wymagany skutek ochronny, zdefiniować funkcje bezpieczeństwa i dopiero wtedy dobrać normy typu B opisujące poszczególne części rozwiązania.

Jedna norma nie musi odpowiadać jednemu wymaganiu zasadniczemu. Jedno wymaganie nie musi prowadzić do jednej normy. Osłona może jednocześnie uruchomić wymagania dotyczące konstrukcji, bezpiecznych odległości, blokowania, ryglowania, układu sterowania, odłączania energii i dostępu serwisowego.

Dlatego deklaracja zgodności nie jest miejscem, od którego rozpoczyna się dobór norm. Jest końcowym zapisem decyzji, które wcześniej zostały uzasadnione i sprawdzone.

Dla każdej zastosowanej normy producent powinien umieć odpowiedzieć:

• z jakiego zagrożenia lub wymagania zasadniczego wynika jej zastosowanie?
• które rozwiązanie techniczne wykonano na jej podstawie?
• jaką funkcję bezpieczeństwa zdefiniowano?
• jaki dokument, obliczenie albo wynik badania potwierdza spełnienie wymagania?
• czy zastosowano całą normę, czy tylko jej część?

Jeżeli tych odpowiedzi nie ma, numer normy jest jedynie obietnicą złożoną w deklaracji.

Tak samo należy traktować dokumenty podzespołów. Deklaracja kurtyny nie potwierdza jej odległości od strefy. Parametry sterownika nie potwierdzają programu. Znak CE urządzenia blokującego nie potwierdza czasu ustania zagrożenia. Obliczony PL nie dowodzi, że człowiek nie może ominąć zabezpieczenia albo pozostać niewykryty wewnątrz strefy.

Ostateczną odpowiedź daje weryfikacja na gotowej maszynie.

Czy osłona rzeczywiście uniemożliwia dostęp? Czy otwarcie drzwi zatrzymuje wszystkie właściwe ruchy? Czy rygiel pozostaje zamknięty dostatecznie długo? Czy kurtyna znajduje się w odległości wynikającej z rzeczywistego dobiegu? Czy po resecie albo powrocie zasilania nie nastąpi nieoczekiwane uruchomienie?

Jeżeli wynik próby przeczy projektowi, poprawia się projekt.

Po badaniu trzeba jeszcze raz wrócić do oceny ryzyka. Nowa osłona może stworzyć miejsce zgniecenia. Wygrodzenie może umożliwić uwięzienie człowieka. Kurtyna może pozwolić na pozostanie w strefie bez wykrycia. Uciążliwe zabezpieczenie może zwiększyć motywację do jego obejścia.

Dopiero gdy środek działa, współpracuje z pozostałymi zabezpieczeniami i nie tworzy nieakceptowalnych nowych zagrożeń, można uznać, że drugi krok zmniejszania ryzyka został przeprowadzony.

Właśnie taką strukturę powinna utrzymywać cyfrowa ocena ryzyka: od zagrożenia i zadania człowieka, przez wymaganie, środek i normę, aż do wyniku badania. W Safety Software nie chodzi więc o stworzenie dłuższej listy norm. Chodzi o uporządkowanie decyzji, za które producent bierze odpowiedzialność.

Papier przyjmie każdą normę. Maszyna odpowiada dopiero podczas próby — i to jej odpowiedź musi znaleźć się w dokumentacji technicznej.

Podstawa merytoryczna i źródła oficjalne

Podstawowe normy wykorzystane w opracowaniu

Artykuł oparto na licencjonowanych wydaniach następujących norm:

• PN-EN ISO 12100 — bezpieczeństwo maszyn, ogólne zasady projektowania, ocena ryzyka i zmniejszanie ryzyka;
• EN ISO 11161 wraz ze zmianą A1 — zintegrowane systemy produkcyjne i bezpieczeństwo całego zespołu;
• PN-EN ISO 13855 — umiejscowienie technicznych środków ochronnych z uwzględnieniem prędkości zbliżania części ciała człowieka;
• EN 280-1 i EN 280-2 — przykład norm typu C określających szczegółowe wymagania oraz funkcje bezpieczeństwa dla konkretnej kategorii maszyn.

W analizowanych przykładach wykorzystano również zakresy następujących norm:

• EN ISO 14120 — osłony;
• EN ISO 13857 — odległości bezpieczeństwa zapobiegające dosięganiu stref niebezpiecznych;
• EN ISO 14119 — urządzenia blokujące związane z osłonami;
• EN ISO 13849-1 i EN ISO 13849-2 — części systemów sterowania związane z bezpieczeństwem oraz ich walidacja;
• EN IEC 62061 — bezpieczeństwo funkcjonalne układów sterowania związanych z bezpieczeństwem;
• EN ISO 13855 i seria EN IEC 61496 — pozycjonowanie oraz wymagania dotyczące elektroczułego wyposażenia ochronnego;
• EN ISO 14118 — zapobieganie nieoczekiwanemu uruchomieniu;
• EN ISO 13850 — funkcja zatrzymania awaryjnego;
• EN 60204-1 — wyposażenie elektryczne maszyn;
• EN ISO 4413 i EN ISO 4414 — układy hydrauliczne i pneumatyczne;
• seria EN ISO 14122 — stałe środki dostępu do maszyn.

Zakresy norm ISO 13849-1, ISO 13849-2 i IEC 62061 można sprawdzić również na oficjalnych stronach ISO 13849-1, ISO 13849-2 oraz IEC 62061.

Wskazanie normy w powyższej bibliografii nie oznacza automatycznie, że każde jej wydanie jest normą zharmonizowaną. Status prawny, dokładne wydanie, ograniczenia publikacji oraz zakres domniemania zgodności trzeba sprawdzić w Dzienniku Urzędowym UE i załączniku ZA.

Akty prawne i dokumenty Komisji Europejskiej

• Dyrektywa 2006/42/WE w sprawie maszyn — w szczególności art. 7, załącznik I oraz załącznik II;
• Rozporządzenie (UE) 2023/1230 w sprawie maszyn — w szczególności art. 20 i 21 oraz załączniki III, IV i V;
• Decyzja wykonawcza Komisji (UE) 2023/1586 wraz z późniejszymi zmianami — oficjalny wykaz odniesień do norm zharmonizowanych opracowanych na potrzeby dyrektywy 2006/42/WE;
• Przewodnik Komisji Europejskiej do stosowania dyrektywy maszynowej, wydanie 2.3 — w szczególności wyjaśnienia dotyczące norm typu A, B i C, domniemania zgodności oraz norm wskazywanych w deklaracji;
• „Niebieski przewodnik” dotyczący wdrażania unijnych przepisów produktowych — zasady stosowania norm zharmonizowanych i domniemania zgodności.

Przewodnik do dyrektywy maszynowej i „Niebieski przewodnik” są oficjalnymi dokumentami interpretacyjnymi Komisji, ale nie stanowią prawnie wiążących aktów. Pierwszeństwo mają przepisy opublikowane w Dzienniku Urzędowym Unii Europejskiej.