Distanța de siguranță a cortinei optice în ISO 13855

Cortina optică de siguranță nu a fost mutată. S-a mutat limita de la care putea fi considerată sigură.

Într-un SIMATIC S7-1500F configurat în TIA Portal V18, F_WD_TIME a crescut de la aproximativ 150 la aproximativ 500 ms. Asta nu înseamnă automat o greșeală de proiectare. Timpul de monitorizare PROFIsafe nu este o valoare universală. El trebuie să se potrivească arhitecturii reale: comunicare, cicluri ale programului de siguranță, F-CPU și dispozitive F. Problema începe când modificarea este tratată ca o simplă corecție de comunicație, fără verificarea efectului asupra funcției de siguranță. Acolo se schimbă timpul de reacție, iar odată cu el se schimbă și distanța de siguranță a cortinei optice.

Nu căuta în cele două valori o rețetă gata de aplicat. Valorile sunt rotunjite pentru descrierea cazului și nu sunt setări universale recomandate de Siemens.

În acest caz, impactul a ieșit la lumină la revalidare. Măsurarea timpului de oprire a stabilit timpul real până la încetarea mișcării periculoase. Calculul timpului maxim de reacție a inclus configurația actuală a sistemului de siguranță. După combinarea corectă a celor două valori și recalcularea conform ISO 13855, rezultatul a fost simplu și neplăcut: cortina era prea aproape de zona periculoasă. Lipseau peste 500 mm.

Scala problemei se vede imediat în relația S = (K × T) + C. Dacă timpul total T crește cu 350 ms, la K = 1600 mm/s distanța cerută crește cu 560 mm. Diferența dintre setările F_WD_TIME nu intră întotdeauna unu la unu în timpul total. Tocmai de aceea decid calculul și măsurarea întregii funcții, nu impresia că „doar am schimbat un parametru”.

Pentru încă o jumătate de metru nu era loc. Cortina nu putea fi mutată mai departe, deci mijlocul de protecție a trebuit schimbat. A fost înlocuită cu o apărătoare transparentă cu interblocare și blocare, sistemul de comandă legat de siguranță a fost reproiectat, iar pentru noile funcții de siguranță s-a stabilit PLr = d.

Din acel moment, povestea nu mai este despre o singură valoare în TIA Portal. O modificare F_WD_TIME poate porni un lanț complet: recalcularea timpului de reacție, schimbarea mijlocului de protecție, verificarea dacă avem o modificare substanțială și clarificarea entității care preia obligațiile producătorului.

F_WD_TIME 500 ms: valoare greșită sau efect evaluat greșit?

Evaluarea unei astfel de modificări începe des cu suspiciunea. Și e normal. Când vezi o creștere de la 150 ms la 500 ms, primul reflex este să întrebi cine a făcut asta și de ce.

→ Cine mărește timpul de monitorizare de la 150 la 500 ms?

→ Nu este acesta un parametru al funcției de siguranță?

→ Nu cumva cineva încearcă să ascundă probleme de comunicare?

Întrebările sunt corecte. Dar niciuna nu stabilește singură dacă o cortină optică de siguranță mai este la distanța corectă.

Întrebarea bună este alta: ce a făcut modificarea F_WD_TIME cu timpul maxim de reacție și cu distanța cerută pentru cortină?

De ce F_WD_TIME nu are o singură valoare corectă

F_WD_TIME nu are o valoare corectă pentru toate instalațiile. Un timp de monitorizare prea scurt poate duce la pasivarea dispozitivelor F, deși comunicarea nu este defectă. Într-o configurație mai mare contează ciclurile F-CPU, actualizarea rețelei, dispozitivele folosite și arhitectura PROFIsafe.

Poți avea 150 ms aleși greșit și 500 ms aleși corect. Poți avea și 150 ms perfect justificați, iar 500 ms complet nejustificați. Numărul singur nu spune adevărul.

Siemens descrie două cerințe care trebuie satisfăcute simultan. Timpul de monitorizare trebuie să fie suficient de lung ca să nu fie depășit în funcționare fără defect, dar suficient de scurt ca să nu depășească timpul de siguranță al procesului.

Mărirea parametrului poate îmbunătăți disponibilitatea mașinii. Nu confirmă însă că mașina reacționează încă suficient de repede și că mijlocul de protecție existent rămâne eficient.

Aici F_WD_TIME a crescut de la aproximativ 150 la aproximativ 500 ms. Tehnic, modificarea putea fi justificată de cerințele configurației reale. Din punct de vedere al siguranței, ea cerea refacerea verificării pentru întreaga funcție.

Problema nu este neapărat valoarea F_WD_TIME. Problema începe când, după modificarea ei, lucrezi în continuare cu calculele vechi, protocolul vechi și distanța veche.

De ce distanța de siguranță a cortinei optice nu se alege după spațiul liber

Prima întrebare după rezultatul validării apare imediat: dacă la 500 ms cortina este prea aproape, de ce să nu revenim la 150 ms?

Dacă valoarea mai scurtă corespunde încă arhitecturii PROFIsafe reale, soluția poate fi corectă. Nu are sens să reconstruiești o mașină doar ca să păstrezi un timp de monitorizare prelungit fără nevoie.

Situația se schimbă dacă 150 ms nu asigură rezerva necesară pentru ciclurile actuale F-CPU, dispozitive și comunicare. Revenirea la valoarea veche ar îmbunătăți rezultatul calculului de distanță, dar nu ar rezolva cauza pentru care parametrul a fost modificat.

Regula este brutal de simplă: distanța cortinei rezultă din timpul de reacție. Timpul de reacție nu se alege după locul rămas liber pe hală.

Mai întâi verifici dacă F_WD_TIME poate fi scurtat, dacă se pot reduce celelalte componente ale timpului de reacție și dacă se poate scurta timpul mecanic de oprire. Abia după ce aceste opțiuni cad, rămân două drumuri: muți cortina sau schimbi mijlocul de protecție.

În cazul analizat, pentru încă o jumătate de metru nu era loc. Problema nu se putea închide din setări. Conceptul de protecție trebuia schimbat.

Cum se calculează distanța de siguranță a cortinei optice?

Până aici poți discuta despre PROFIsafe. A fost 150 ms corect? A fost 500 ms necesar? Se putea scurta ciclul? Se putea îmbunătăți comunicarea?

Răspunsul îl dă doar o validare coerentă. Calculul timpului maxim de reacție arată comportarea părții de comandă, inclusiv pentru scenariile de defect acceptate. Măsurarea timpului de oprire arată încetarea mișcării periculoase în mașina reală. Granițele celor două valori trebuie definite clar, ca să nu omiți nimic și să nu numeri aceeași componentă de două ori.

Domeniul măsurării trebuie să corespundă scenariului analizat. O măsurare tipică pornită prin întreruperea câmpului cortinei, cu comunicare corectă, confirmă calea sănătoasă de reacție și nu include neapărat așteptarea până la F_WD_TIME. Impactul timpului de monitorizare asupra căii maxime de reacție trebuie atunci demonstrat prin calculul timpilor sistemului de siguranță și corelat cu măsurarea încetării mișcării.

Simpla constatare că mașina s-a oprit nu valorează mare lucru. Întrebarea este dacă s-a oprit înainte ca omul să ajungă la pericol.

ISO 13855 transformă timpul în distanță prin relația:

S = (K × T) + C

Dacă celelalte componente rămân neschimbate, efectul diferenței de timp total se poate arăta simplu:

ΔS = K × ΔT

ΔT înseamnă aici diferența dintre două calcule ale timpului maxim de reacție. Nu înseamnă automat diferența pură dintre două setări F_WD_TIME. Iar K = 2000 mm/s este doar o ilustrare a scalei matematice; varianta corectă pentru proiect se alege conform ISO 13855, nu după rezultatul care încape mai bine pe plan.

Nu alegi valoarea K convenabilă doar pentru că dă o distanță mai mică. Varianta de calcul, valoarea C și condițiile aplicabile vin din modul de apropiere, capacitatea de detectare și cerințele ISO 13855 pentru aplicația concretă.

Distanța rezultată nu este un adaos cosmetic și nu este o rezervă pe care o rotunjești după chef. Este distanța care trebuie asigurată între câmpul de detecție al cortinei și zona periculoasă.

Ce rezultat se ia din măsurarea timpului de oprire?

Un singur test nu ajunge. În anexa informativă a ediției ISO 13855 folosite în acest caz se indică cel puțin 10 măsurări. Ele trebuie făcute în condițiile identificate ca ducând la cel mai lung timp realist de dispariție a pericolului. În funcție de mașină, contează viteza, sarcina, faza ciclului, temperatura și starea elementelor responsabile de oprire.

Ce rezultat folosești? Nu pe cel mai frumos. Nu media simplă. Nu valoarea care te ajută să păstrezi cortina existentă.

Conform metodei din această anexă, pentru stabilirea distanței se ia valoarea mai mare dintre două rezultate: cel mai lung timp măsurat sau media măsurărilor plus de trei ori abaterea standard.

Ce acoperă exact măsurarea timpului de oprire?

Trebuie păzite și limitele măsurării. Dacă instrumentul măsoară timpul complet de la acționarea dispozitivului de protecție până la oprirea mișcării, nu ai voie să mai adaugi încă o dată aceleași componente din calculator. Dacă măsurarea acoperă doar partea mecanică a opririi, timpul calculat pentru partea anterioară a lanțului trebuie adăugat.

Combinarea calculului timpilor de reacție cu rezultatul măsurării a dus la o concluzie clară: distanța cerută pentru cortină crescuse cu peste o jumătate de metru.

Doar că pe hală nu exista acea jumătate de metru.

Când distanța de siguranță a cortinei optice nu încape în hală

Sună paradoxal, dar nu este: cortina optică de siguranță funcționa corect și totuși trebuia eliminată din acel rol. Detecta omul. Declanșa oprirea. Nu dispozitivul era problema. Problema era poziția lui față de zona periculoasă.

O cortină optică de siguranță nu oprește fizic omul. Ea detectează intrarea și transmite mașinii comanda de oprire. Conceptul funcționează numai dacă mișcarea periculoasă încetează înainte ca omul să ajungă la pericol.

Ce faci când măsurarea și calculul spun că ai nevoie de încă 560 mm, dar peretele, utilajul următor sau culoarul tehnologic nu se mută?

ISO 12100 cere revenirea la procesul iterativ de reducere a riscului. Mai întâi reiei soluțiile inerent sigure, inclusiv scurtarea timpului de reacție și a timpului de oprire. Dacă nu este suficient, alegi un mijloc tehnic de protecție potrivit condițiilor reale.

Lipsa de spațiu nu schimbă rezultatul ISO 13855. În cazul analizat s-a schimbat principiul protecției. Cortina, care detecta intrarea omului în zonă, a fost înlocuită cu o apărătoare transparentă care trebuia să împiedice intrarea.

Panourile transparente au păstrat vizibilitatea procesului, dar nu puteau fi tratate ca decor. Construcția, rezistența și fixarea apărătorii au fost evaluate conform ISO 14120. Ea nu avea voie să creeze noi puncte de strivire sau muchii periculoase. Posibilitatea de a ajunge prin, peste sau pe sub structură a trebuit evaluată cu ISO 13857.

De ce s-a folosit o apărătoare cu interblocare și blocare?

Accesul pentru operare și mentenanță rămânea necesar. De ce nu era suficientă o apărătoare simplă cu interblocare?

Deschiderea unei apărători cu interblocare declanșează oprirea, dar nu împiedică deschiderea imediată. Dacă mișcarea periculoasă dispare abia după un timp, operatorul poate ajunge în zonă înainte ca mașina să fie oprită efectiv.

Nevoia de blocare nu este decisă de simpla existență a inerției. Ea se stabilește prin comparația dintre timpul de dispariție a pericolului și timpul necesar pentru obținerea accesului, plus rezultatul evaluării riscurilor. În acest caz, apărătoarea trebuia să rămână închisă din momentul cererii de acces până la dispariția riscului. Abia apoi sistemul putea elibera blocarea și permite deschiderea ușii. Alegerea dispozitivului de interblocare, folosirea blocării și limitarea posibilităților de ocolire sunt tratate în ISO 14119.

Schimbarea cortinei cu o apărătoare cu interblocare și blocare nu a fost o înlocuire simplă de componentă. Au apărut funcții noi de siguranță:

• oprirea mișcării la cererea de acces;
• prevenirea pornirii cu apărătoarea deschisă;
• menținerea blocării până la dispariția riscului;
• eliberarea blocării doar după confirmarea condițiilor cerute;
• prevenirea repornirii neașteptate.

PLr = d se aplică funcției de siguranță, nu apărătorii singure

Pentru fiecare funcție identificată s-a stabilit PLr pe baza evaluării riscurilor. În cazul descris, pentru funcțiile care asigurau reducerea riscului s-a adoptat PLr = d. Apoi părțile sistemului de comandă legate de siguranță au fost proiectate astfel încât PL atins să fie cel puțin egal cu PLr, iar funcțiile au fost supuse verificării și validării conform ISO 13849-1.

Asta nu înseamnă că apărătoarea în sine avea PL d. Nivelul de performanță se referă la întreaga funcție: de la senzorul de poziție și starea blocării, prin logica de comandă, până la elementul de execuție care oprește mișcarea. Marcajul unui singur întrerupător nu confirmă nivelul atins de tot sistemul.

Rezultatul? O singură setare modificată a dus la o apărătoare nouă, funcții noi de siguranță, modificarea programului de siguranță și o nouă validare.

Iar de aici apare întrebarea grea: entitatea care a făcut modificarea mai este doar utilizatorul mașinii sau a preluat deja obligațiile producătorului?

De la modificare digitală la modificare substanțială

La prima vedere răspunsul pare evident. Cortina a fost înlocuită cu o apărătoare cu interblocare și blocare, programul de siguranță a fost modificat, funcțiile de siguranță s-au schimbat. Domeniul lucrării a fost mare, deci modificarea pare substanțială.

Regulamentul (UE) 2023/1230 nu numără însă componentele schimbate. Nu întreabă câți metri de apărătoare ai montat și câte blocuri de program ai rescris. Întreabă ce efect are modificarea asupra siguranței.

Pentru acest tip de caz trebuie stabilite împreună următoarele elemente:

• dacă după introducerea mașinii pe piață sau punerea ei în funcțiune s-a făcut o modificare fizică ori digitală;
• dacă modificarea nu a fost prevăzută sau planificată de producătorul mașinii;
• dacă a creat un pericol nou sau a mărit un risc existent;
• dacă a cerut adăugarea unei apărători sau a unui dispozitiv de protecție;
• dacă funcționarea acelui mijloc a cerut modificarea sistemului de comandă existent legat de siguranță.

Modificarea F_WD_TIME, singură, nu dovedește o modificare substanțială. Dar poate îndeplini condițiile dacă întregul lanț este confirmat în evaluarea riscurilor.

În cazul analizat, punctul de plecare a fost o modificare digitală într-o mașină aflată în exploatare. Revalidarea a arătat că poziția existentă a cortinei nu mai asigura reducerea de risc presupusă. Siguranța nu putea fi restabilită prin mutarea cortinei, iar apărătoarea cu interblocare și blocare cerea reproiectarea funcțiilor realizate de sistemul de siguranță.

Lanțul arată exact mecanismul descris pentru modificare substanțială: modificare digitală → creșterea riscului → mijloc nou de protecție → modificarea sistemului de siguranță existent.

Rămâne un punct pe care nu ai voie să-l presupui doar din amploarea lucrării: fusese această variantă de modificare prevăzută sau planificată de producătorul mașinii?

Dacă producătorul a inclus-o în evaluarea inițială a riscurilor, documentație și instrucțiuni, poate fi o modificare în configurația prevăzută. Dacă nu a fost prevăzută, iar celelalte condiții sunt îndeplinite, cazul poate fi încadrat ca modificare substanțială.

Când se preiau obligațiile producătorului?

Dacă toate condițiile sunt îndeplinite, art. 18 din Regulamentul (UE) 2023/1230 consideră persoana fizică sau juridică ce efectuează modificarea substanțială ca producător în sensul regulamentului. Obligațiile privesc mașina sau produsul conex afectat de modificare, iar în cazul unui ansamblu de mașini, produsul atins de schimbare în măsura demonstrată prin evaluarea riscurilor.

Nu se termină cu o nouă evaluare a riscurilor și cu validare. Obligațiile producătorului includ pregătirea documentației tehnice, efectuarea procedurii aplicabile de evaluare a conformității, întocmirea declarației UE de conformitate, aplicarea marcajului CE, asigurarea instrucțiunilor și identificării, precum și păstrarea documentației tehnice și a declarației UE de conformitate timp de cel puțin 10 ani.

Regulamentul a intrat în vigoare la 19 iulie 2023, dar prevederile principale privind modificarea substanțială se aplică de la 20 ianuarie 2027. Dacă modificarea a fost făcută înainte, nu se califică retroactiv după aceste articole. Se aplică regulile în vigoare la data modificării.

Directiva 2006/42/CE nu conținea o definiție juridică pentru modificare substanțială sau modernizare semnificativă. Al doilea termen circula în practica tehnică. Ghidul oficial al Comisiei indica însă necesitatea de a evalua dacă amploarea transformării echivala, în fond, cu realizarea unei mașini noi.

Cât de departe se întinde modificarea substanțială?

După cuvintele „preia obligațiile producătorului”, se alunecă ușor în două extreme.

Prima: trebuie refăcută evaluarea conformității și documentația pentru toată linia.

A doua: am schimbat doar cortina cu o apărătoare, deci documentăm doar ușa și blocarea.

Ambele răspunsuri pot fi greșite.

Considerentul 26 din Regulamentul (UE) 2023/1230 explică faptul că persoana care efectuează o modificare substanțială nu ar trebui obligată să repete încercări și să întocmească documentație nouă pentru mașini sau produse conexe care fac parte dintr-un ansamblu de mașini și care nu sunt afectate de modificare.

Asta nu reduce însă obligațiile pentru mașina sau produsul conex afectat efectiv de modificare.

Limita impactului nu se stabilește după numele proiectului, după marginea dulapului electric sau după locul unde ai prins noua apărătoare. Ea trebuie să rezulte din evaluarea riscurilor.

Trebuie verificat mult mai mult decât ușa:

• ce parte a liniei se oprește la deschiderea apărătorii;
• dacă s-au schimbat limitele zonelor de oprire;
• dacă alte mașini pot continua mișcări periculoase;
• unde este resetul și ce vede operatorul din acel loc;
• dacă după închiderea apărătorii este posibilă repornirea neașteptată;
• dacă o persoană poate rămâne între apărătoare și zona periculoasă;
• dacă modificarea afectează interfețele dintre mașini.

Dacă evaluarea riscurilor arată că modificarea substanțială afectează siguranța unei singure mașini sau a unui singur produs conex dintr-un ansamblu de mașini, art. 18 permite limitarea obligațiilor producătorului la acel produs.

Dacă însă s-au schimbat accesul comun, oprirea, resetul, repornirea sau comunicarea dintre zone, nu poți spune că modificarea privește doar o ușă.

Mașină sau sistem de producție integrat?

Dacă instalația analizată este un sistem de producție integrat cu cel puțin două mașini interconectate care realizează o aplicație definită, analiza interfețelor și a interacțiunii funcțiilor de siguranță trebuie privită și prin ISO 11161. Mașinile individuale pot fi conforme și corect protejate, iar după conectare sau după schimbarea unui mijloc comun de protecție să apară un risc nou la nivelul întregului sistem.

Întrebarea corectă este: cât de departe se întinde impactul modificării asupra funcțiilor, zonelor și interfețelor de siguranță?

Ce documente și dovezi trebuie actualizate?

Pentru mașinile sau produsele conexe neafectate, care fac parte din ansamblu, nu trebuie repetate încercările și nu trebuie creată documentație nouă. În documentația produsului afectat de modificare se pot folosi dovezi anterioare, dacă rămân actuale și potrivite. Totul trebuie însă să demonstreze coerent conformitatea mașinii sau produsului pentru care au fost preluate obligațiile producătorului.

Nu înseamnă mereu că fiecare document se scrie de la zero. Înseamnă documentație tehnică completă și coerentă pentru produsul afectat, cu precizarea dovezilor anterioare care rămân valabile, a dovezilor actualizate și a motivului pentru care modificarea nu afectează restul mașinilor sau produselor din ansamblu.

Granița obligațiilor producătorului nu este locul unde se termină noua apărătoare. Este impactul modificării demonstrat prin evaluarea riscurilor.

Schimbi un parametru de siguranță? Verifică întregul lanț

Modificarea F_WD_TIME nu înseamnă automat refacerea întregii documentații de la început. Dar dacă duce la o modificare substanțială, documentația tehnică trebuie să acopere mașina sau produsul a cărui siguranță a fost afectată.

Un protocol vechi de măsurare a timpului de oprire poate rămâne un document istoric corect. Nu confirmă automat poziția cortinei după modificarea programului de siguranță.

Fiecare dovadă răspunde la altă întrebare. RT Calculator arată comportarea sistemului de comandă. Măsurarea timpului de oprire arată încetarea mișcării periculoase. ISO 13855 transformă timpul în distanță. Evaluarea riscurilor stabilește dacă mijloacele aplicate asigură în continuare reducerea cerută a riscului.

Niciuna dintre aceste dovezi nu le înlocuiește pe celelalte.

De aceea, orice modificare a unui parametru legat de timpul de reacție trebuie să lase o urmă clară: motivul schimbării, configurația înainte și după, calculele, măsurările, evaluarea riscurilor, decizia de proiectare și raportul de validare.

Lasă urmă de la parametru până la validare

RT Calculator de la Siemens ajută la calculul timpului de reacție. Nu va arăta însă de ce a fost acceptată modificarea și ce consecințe a avut asupra mașinii complete.

Lanțul deciziilor trebuie pus în ordine. În Safety Software, evaluarea riscurilor pentru mașini poate lega cauza modificării de acțiunile corective și de dovezile de validare. Jurnalul de audit păstrează istoricul schimbărilor și justificărilor, iar auditul mașinilor organizează constatările, responsabilitățile și dovezile finale.

Concluzie

Acest caz nu demonstrează că F_WD_TIME = 500 ms este o valoare greșită. Arată ceva mai important: modificarea unui parametru care influențează timpul de reacție poate invalida ipotezele vechi privind siguranța mașinii.

Lanțul a fost simplu: modificare F_WD_TIME → alt timp maxim de reacție → distanță mai mare pentru cortină → lipsă de spațiu → apărătoare cu interblocare și blocare → reproiectarea sistemului de siguranță.

La K = 1600 mm/s, încă 350 ms în timpul total înseamnă 560 mm distanță cerută. Nu poți reduce rezultatul pentru că nu încape în hală. Dacă nu poți scurta timpul și nu poți muta cortina, schimbi conceptul de protecție.

Modificarea timpului de monitorizare nu stabilește singură o modificare substanțială. Dar poate porni un lanț care îndeplinește toate condițiile: modificare digitală după introducerea pe piață sau punerea în funcțiune, neprevăzută de producător, risc crescut, mijloc nou de protecție și modificarea sistemului de comandă existent legat de siguranță.

Întrebarea nu este: se putea mări F_WD_TIME?

Întrebarea este: după modificare, ai recalculat, ai măsurat și ai validat siguranța mașinii?

Dacă răspunsul se sprijină pe calcule actuale, măsurarea timpului de oprire, evaluarea riscurilor și validare, modificarea este sub control.

Dacă răspunsul se sprijină pe un protocol vechi și pe fraza „dar cortina nu a fost mutată”, exact acolo începe problema.

Surse oficiale și standarde folosite

Siemens

• SIMATIC Safety — Configuring the monitoring times;
• SIMATIC STEP 7 Safety Advanced — RT Calculator;
• SIMATIC Safety — Response Times of Safety Functions;
• Safety Function via IWLAN — exemplu pentru TIA Portal V18;
• SIMATIC Safety — system acceptance and verification of times.

Dreptul Uniunii Europene

• Regulamentul (UE) 2023/1230 — text actual;
• Regulamentul (UE) 2023/1230 — considerentul 26;
• Ghidul pentru Directiva 2006/42/CE.

Standarde utilizate în analiză

• ISO 12100 — evaluarea și reducerea riscului;
• ISO 13855 — poziționarea mijloacelor tehnice de protecție;
• ISO 14119 — dispozitive de interblocare asociate apărătorilor;
• ISO 14120 — proiectarea și construcția apărătorilor;
• ISO 13857 — distanțe de siguranță care împiedică atingerea zonelor periculoase;
• ISO 13849-1 — proiectarea părților sistemelor de comandă legate de siguranță;
• ISO 11161 — sisteme de producție integrate.

Înainte de aplicarea unui standard, trebuie stabilite ediția corectă pentru proiect, publicarea națională relevantă și baza actuală pentru prezumția de conformitate.