„În caz de pericol, operatorul apasă butonul-ciupercă.” Așa se poate închide rapid discuția despre protecția unei mașini. Butonul există, circuitul funcționează, iar la probă mașina s-a oprit. Mai rămâne doar să presupunem că omul va observa pericolul, va reacționa la timp și va face ceea ce proiectul și protecția postului de lucru nu au asigurat.
Proiectantul nu poate trece reflexele operatorului în contul măsurilor de protecție lipsă. O funcție preventivă de securitate trebuie să împiedice producerea unui eveniment periculos bine definit. Funcția de oprire de urgență trebuie să permită intervenția asupra unei situații de urgență existente sau iminente, să-i împiedice agravarea și să-i limiteze consecințele. Poate ajuta la evitarea unei vătămări. Asta nu o transformă într-un înlocuitor pentru protecția care trebuia să împiedice apariția evenimentului periculos.
Este diferența dintre a asigura protecția și a spera într-o intervenție reușită. În evaluarea riscului, diferența nu poate fi ascunsă sub formula comodă „s-a instalat un sistem de securitate”. ISO 13850 definește oprirea de urgență drept măsură de protecție suplimentară. Nu fiindcă ar fi neimportantă, ci fiindcă trebuie să completeze celelalte măsuri, nu să le justifice absența.
Al doilea mit începe cu afirmația: „După apăsare, întrerupem tot”. Sună hotărât. Numai că o mașină oprită nu este automat o mașină sigură. Omul poate rămâne prins, iar oprirea echipamentului care îl proteja poate înrăutăți situația. Imobilitatea nu dovedește că pericolul a fost controlat.
De aceea, sarcina funcției nu poate fi redusă la deconectarea unui număr cât mai mare de receptoare. Trebuie stabilit ce acțiuni periculoase încetează, în ce ordine și ce trebuie să continue să funcționeze pentru protecția omului. În anumite aplicații sunt necesare și acțiuni de protecție suplimentare, nu doar oprirea.
Operatorul trebuie să poată iniția reacția printr-o singură acțiune. Nu ar trebui ca, înainte de apăsare, să calculeze dacă oprirea va produce efecte mai grave decât pericolul prezent. Asta se decide în proiectare. Cu cât intervenția omului trebuie să fie mai simplă, cu atât proiectul poate lăsa mai puțin loc consecințelor neanalizate.
Dacă recepția s-a limitat la verificarea opririi unei acționări, putem confirma că acționarea s-a oprit și totuși să nu răspundem la întrebarea esențială: s-a obținut reacția corectă față de situația de urgență? Mențiunea „E-STOP funcționează” nu explică nici ce eveniment împiedică protecția preventivă, nici ce se întâmplă cu omul după apăsarea butonului.
Posibilitatea de a opri mașina nu dovedește că protecția este adecvată. Iar oprirea mișcării nu înseamnă întotdeauna sfârșitul pericolului.
1. Prevenirea și reacția de urgență nu sunt două metode pentru aceeași problemă
„Cortina oprește mașina. Butonul-ciupercă face același lucru. De ce să complicăm?” Dacă eficacitatea protecției ar depinde exclusiv de oprirea finală a motorului, întrebarea ar fi rezonabilă. Am putea compara două scheme, am găsi același contactor și am concluziona că diferența este mai ales de preț.
Lipsește doar detaliul decisiv: când se oprește mașina și ce i se poate întâmpla omului până atunci. Funcția preventivă de securitate trebuie să împiedice un eveniment periculos determinat. Oprirea de urgență trebuie să inverseze sau să controleze evoluția unei situații de urgență existente ori iminente. În ambele cazuri poate fi necesară oprirea mișcării, dar nu rezolvăm aceeași problemă.
Cortina nu trebuie să anunțe că mâna a ajuns deja la sculă
Să luăm un post la care omul poate ajunge la o sculă în mișcare. Presupunem că accesul poate fi protejat printr-o cortină optică de securitate: mișcarea periculoasă poate fi oprită în timpul ciclului, iar scula nu poate fi atinsă prin ocolirea câmpului de detectare.
Cortina detectează mâna și inițiază oprirea. Distanța până la sculă ține seama de timpul de reacție al întregului sistem și de cursa reziduală a mașinii. Mișcarea periculoasă trebuie să înceteze înainte ca omul să o poată atinge. Aceasta este sarcina funcției. Nu simpla comutare a ieșirilor și nici apariția mesajului „safety stop” pe panou.
Dacă mâna poate ajunge la scula aflată încă în mișcare înainte ca mașina să se oprească, contactul periculos nu a fost prevenit. Cortina poate funcționa corect, automatul programabil poate primi semnalul, iar acționarea poate executa comanda. Toate componentele pot lucra conform proiectului. Tocmai proiectul poate fi greșit.
De aceea, verificarea cortinei nu înseamnă doar întreruperea fasciculelor. Trebuie demonstrat că detectarea și oprirea împiedică în mod real evenimentul împotriva căruia au fost prevăzute.
La oprirea de urgență, omul trebuie să inițieze intervenția
Dispozitivul de oprire de urgență nu preia sarcina detectării accesului. El trebuie să-i permită omului să declanșeze reacția prevăzută față de o situație care cere intervenție imediată. Nu este necesar ca vătămarea să se fi produs deja. ISO 13850 vorbește și despre o situație iminentă.
Cineva poate observa o evoluție periculoasă și poate apăsa butonul înainte de producerea prejudiciului. Poate fi necesară și intervenția când acțiunea periculoasă a început deja. În primul exemplu, protecția este declanșată prin detectarea mâinii. În al doilea, omul trebuie să recunoască nevoia de intervenție și să acționeze. Formula „ambele opresc” nu face aceste situații echivalente.
Dacă eliminăm cortina și păstrăm butonul, nu mai există oprire automată la detectarea mâinii. Omul primește sarcina de a observa problema și de a iniția reacția. Detectarea a fost eliminată din proiect. În justificare s-a adăugat că operatorul este instruit. Economia este reală. Echivalența protecțiilor este inventată.
Tocmai de aceea, ISO 13850 tratează oprirea de urgență ca măsură de protecție suplimentară și nu permite folosirea ei ca înlocuitor pentru măsurile tehnice de protecție și pentru celelalte funcții necesare. Oprirea de urgență este, la rândul ei, o funcție legată de securitate. Dar asta nu înseamnă că îi putem atribui orice sarcină de protecție.
Același releu nu șterge diferența dintre funcții
Funcțiile pot utiliza în comun elemente ale sistemului de comandă dacă sunt îndeplinite cerințele aplicabile. Nu trebuie multiplicată aparatura doar de dragul multiplicării. Trebuie însă stabilit separat ce declanșează fiecare funcție și ce rezultat de protecție trebuie să producă.
La cortină verificăm prevenirea contactului periculos. La oprirea de urgență verificăm reacția corectă față de situația analizată, iar aceasta nu se reduce întotdeauna la imobilitate. Apăsarea butonului-ciupercă nu demonstrează că omul nu poate ajunge la scula în mișcare. În același fel, o cortină instalată corect nu răspunde tuturor întrebărilor privind intervenția de urgență.
Un contactor comun poate fi justificat. Un singur „conform” copiat pentru două sarcini diferite nu este suficient.
2. „Operatorul va avea timp” nu este o măsură de protecție
Să presupunem că, lângă un post de alimentare manuală, a rămas accesibilă o transmisie cu lanț. Pericolul de antrenare a fost identificat. În evaluarea riscului au fost trecute următoarele măsuri: buton de oprire de urgență, marcaje și instruirea operatorului. După luarea lor în calcul, riscul a fost declarat acceptabil.
Lanțul este în continuare accesibil. Lucrătorul execută aceleași operații lângă el. S-a schimbat culoarea celulei din foaia de calcul. Apărătoarea nu a încăput în buget. Reflexele operatorului au fost introduse gratuit.
Ce a redus, de fapt, riscul?
Montarea butonului nu a limitat accesul la transmisie. Nu a redus frecvența lucrului lângă aceasta și nu a eliminat capacitatea mecanismului de a antrena o persoană. A fost asigurată posibilitatea inițierii opririi de urgență. Acum trebuie demonstrat în ce împrejurări această intervenție poate ajuta.
Cine observă pericolul? După ce semne îl recunoaște? Poate ajunge la dispozitiv? Între recunoașterea situației și producerea vătămării rămâne suficient timp pentru o acțiune eficientă? Răspunsul „operatorul a fost instruit” clarifică doar o parte. Confirmă pregătirea pentru anumite operații, nu posibilitatea fizică de a le executa în situația analizată.
Semnătura pe lista de instruire nu scurtează cursa reziduală a mașinii și nu prelungește timpul rămas până la antrenare. Oprirea de urgență poate îmbunătăți posibilitatea evitării sau limitării prejudiciului, deci nu este lipsită de valoare în evaluarea riscului. Dar avantajul trebuie legat de un scenariu concret, nu acordat automat pentru prezența unui buton roșu.
Dacă nu s-a demonstrat posibilitatea unei intervenții eficiente, mențiunea „E-STOP și instruire” nu justifică o protecție suficientă împotriva antrenării.
S-a măsurat timpul de la apăsare, nu de la începutul pericolului
În timpul probei, persoana care verifică stă lângă dispozitiv, știe ce urmează să facă și inițiază oprirea. Măsurarea arată timpul dintre acționarea dispozitivului și încetarea mișcării periculoase. Rezultatul este necesar, dar nu include ceea ce se întâmplă înainte într-o situație reală: observarea pericolului, recunoașterea nevoii de intervenție și executarea acțiunii.
Pentru sistemul de comandă s-a determinat timpul de răspuns. Pentru operator s-a presupus că se va descurca. În situația analizată, lucrătorul poate avea ambele mâini ocupate cu alimentarea piesei. Poate fi în afara razei de acțiune a butonului sau poate avea nevoie de ajutor tocmai fiindcă nu mai poate iniția singur oprirea.
Presupunerea că va interveni un coleg trebuie și ea verificată. A doua persoană trebuie să fie prezentă, să vadă situația și să poată acționa. Nu apare lângă mașină doar pentru că în evaluare a fost scris „ajutorul unui coleg”.
Accesibilitatea dispozitivului se verifică în raport cu locurile și activitățile la care poate fi necesară intervenția, nu doar din poziția comodă a persoanei aflate în fața pupitrului la recepție. Un sistem perfect funcțional poate să nu primească la timp comanda. Nu este o defecțiune a releului pe care o va detecta diagnoza. Este o ipoteză neverificată despre participarea omului.
Scurtarea timpului de răspuns al automatului nu repară situația dacă problema principală apare înainte de apăsarea butonului.
„A se acorda atenție deosebită.” Preferabil toată tura
Lângă post apare recomandarea: „Operatorul trebuie să acorde atenție deosebită, să urmărească permanent funcționarea mașinii și să folosească imediat oprirea de urgență în caz de pericol.” Fraza se potrivește aproape oricărei mașini. Tocmai de aceea explică atât de puțin.
Să presupunem că operatorul trebuie să preia produsele finite, să le verifice calitatea și să le depună într-un recipient aflat în spatele postului. În același timp, instrucțiunea cere „supravegherea neîntreruptă a zonei periculoase”. Pentru a pune produsul în recipient, omul trebuie să se întoarcă. Nu ignoră instrucțiunea, nu vorbește la telefon și nu inventează o metodă proprie. Execută operația prevăzută de proiectant. Același proiectant care a condiționat securitatea de privirea îndreptată în sens opus.
Operarea a fost proiectată pentru o persoană. Atenția necesară, aparent, pentru două. Într-un asemenea sistem, comanda „opriți imediat” nu rezolvă problema. Mai întâi, cineva trebuie să observe că oprirea este necesară.
Dacă protecția se bazează pe supraveghere continuă, iar sarcinile prevăzute întrerup supravegherea, ipotezele proiectului se contrazic. Adăugarea cuvântului „deosebită” lângă „atenție” nu elimină contradicția. Doar crește cerințele impuse operatorului fără să schimbe condițiile în care trebuie să le îndeplinească.
Nu trebuie eliminate avertismentele din instrucțiune. Dar avertismentul nu poate executa munca rămasă nefăcută la proiectarea protecției. Informațiile pentru utilizator au un rol în reducerea riscului, însă nu înlocuiesc aplicarea corectă a măsurilor constructive și de protecție.
La fel, oprirea de urgență completează protecția. Nu transferă sarcina acesteia asupra vigilenței omului. Postul trebuie evaluat și atunci când operatorul execută corect operația care îi abate atenția de la mașină. Nu după incident, întrebând de ce nu privea exact în acel moment.
„Fii atent, operatorule” poate fi un avertisment. Nu este o măsură tehnică de protecție livrată sub forma unei propoziții.
3. Mașina oprită poate continua să pună omul în pericol
În descrierea funcției apare adesea formularea: „După acționarea opririi de urgență, acționările se opresc și mașina trece în stare sigură.” Prima parte poate fi verificată: acționările nu mai produc mișcarea periculoasă. A doua cere să stabilim ce alte pericole există și ce s-a întâmplat cu ele.
Este ușor să scriem „stare sigură” după cuvântul „oprire”. În construcția mașinii, legătura nu apare de la virgulă. Încetarea mișcării poate întrerupe evoluția situației de urgență și totuși să lase omul comprimat, blocat sau fără posibilitatea de a ieși. Mașina nu trebuie să înceapă un ciclu nou pentru a continua să provoace vătămări.
Viteza a ajuns la zero. Forța de strângere nu neapărat
Să analizăm un ansamblu de valțuri în care apăsarea unuia este asigurată de arcuri. Un membru este antrenat între valțuri, se acționează E-STOP, iar rotația se oprește. Antrenarea suplimentară a fost întreruptă, dar valțurile rămân apăsate. Acționarea a executat comanda. Arcurile funcționează și ele conform proiectului. Omul este în continuare strivit.
Asta nu înseamnă că oprirea a fost inutilă sau ineficientă pentru întreruperea antrenării. Înseamnă că nu a rezolvat întreaga situație. Oprirea mișcării periculoase și eliberarea persoanei sunt două sarcini diferite, care trebuie coordonate.
Dacă analiza a luat în calcul antrenarea, trebuie stabilit și modul în care persoana poate fi eliberată. În funcție de construcție, poate fi necesară depărtarea elementelor, eliberarea apăsării sau o mișcare inversă proiectată corespunzător. Nu toate soluțiile sunt potrivite pentru orice mașină. Problema nu este rezolvată doar fiindcă, după oprire, nu se mai mișcă.
ISO 13850 nu reduce reacția de urgență la imobilitate
Standardul permite ca oprirea de urgență să inițieze și alte funcții decât oprirea, inclusiv inversarea sau limitarea mișcării. Scopul este reducerea posibilității de producere a prejudiciului, nu obținerea unui număr cât mai mare de ieșiri dezactivate.
Mișcările și acțiunile periculoase trebuie oprite. De aici nu rezultă că orice mișcare realizată în cadrul reacției de urgență este interzisă. O deplasare proiectată corect poate proteja omul. Dar cuvântul „corect” nu este decorativ.
Când analizăm inversarea, trebuie să stabilim dacă mișcarea inversă ajută efectiv în blocarea respectivă. Poate agrava vătămarea? Creează alt punct de antrenare? Ce se întâmplă între timp cu apăsarea? Ce cursă, ce viteză și ce mod de comandă sunt necesare? Schimbarea semnului vitezei în program nu este încă proiectarea unei funcții de salvare, chiar dacă încape într-o singură linie de cod.
ISO 13850 indică posibilitatea unor asemenea acțiuni, dar nu stabilește cerințele detaliate pentru realizarea lor. Invocarea standardului nu dovedește că orice inversare sau deschidere a mecanismului este sigură. Soluția concretă trebuie evaluată.
Oprirea nu trebuie să elimine posibilitatea eliberării
Trebuie făcută diferența între o acțiune suplimentară inclusă în reacția la E-STOP și o funcție separată pentru eliberarea omului după oprire. În primul caz, acțiunea face parte din reacția de urgență proiectată. În al doilea, oprirea nu realizează întreaga eliberare, dar păstrează posibilitatea efectuării acesteia prin mijloace adecvate.
Nu orice mașină trebuie să depărteze automat elementele sau să execute o inversare după apăsarea butonului. ISO 13850 cere însă ca oprirea de urgență să nu afecteze negativ alte funcții de protecție și menționează explicit eliberarea persoanelor prinse.
Această cerință contează când explicația este: „Poate fi eliberat, dar mai întâi trebuie să repornim funcționarea normală.” Funcția de eliberare trebuie să permită salvarea omului, nu să reactiveze toate mișcările de producție în speranța că va fi folosită numai cea potrivită. Condițiile de activare, mișcările disponibile și limitarea lor se stabilesc în proiect, nu când cineva are deja nevoie de ajutor.
După oprire trebuie să putem răspunde nu doar la întrebarea „ce stă?”, ci și la întrebările: ce acțiune periculoasă continuă și ce s-a prevăzut pentru controlarea ei?
Starea sigură nu apare fiindcă o variabilă din automat a primit acest nume. Trebuie obținută în mașină, inclusiv pentru omul care nu se poate elibera.
4. De ce întreruperea tuturor circuitelor poate agrava situația
„După apăsarea butonului-ciupercă dezactivăm toate ieșirile.” Cerința este simplă. Și programul la fel. La recepție este ușor de verificat dacă totul s-a stins. Numai că o ieșire poate alimenta acționarea care produce pericolul, iar alta echipamentul care protejează împotriva unui alt pericol.
Dezactivarea amândurora nu oferă automat de două ori mai multă securitate. ISO 13850 cere prioritatea opririi de urgență, dar interzice diminuarea eficacității celorlalte funcții de protecție. Poate fi necesară menținerea funcționării echipamentelor auxiliare, cum ar fi dispozitivele electromagnetice de prindere sau echipamentele de frânare.
Nu este o contradicție a standardului. Este motivul pentru care, înainte de trasarea unei deconectări comune, trebuie verificat ce anume depinde de acea alimentare.
Acționarea trebuie oprită. Sarcina nu trebuie scăpată
Să presupunem că un utilaj deplasează o piesă din oțel cu ajutorul unui dispozitiv electromagnetic care necesită alimentare continuă. Menținerea sarcinii depinde de acesta, iar construcția nu are o protecție independentă împotriva eliberării sarcinii.
Proiectantul include acționările de deplasare și alimentarea dispozitivului electromagnetic în aceeași deconectare. După apăsarea E-STOP, acționările sunt oprite. Dispozitivul pierde capacitatea de a menține sarcina. Comanda a fost executată impecabil, inclusiv partea prin care sarcina a rămas fără susținere.
Nu avem un buton defect și nici un contactor lipit. Aparatura a făcut exact ceea ce s-a proiectat. Eroarea este presupunerea că toate receptoarele pot fi tratate identic fiindcă toate folosesc energie electrică.
Sarcina corectă este alta: oprirea deplasării periculoase și menținerea sigură a încărcăturii. Soluția trebuie aleasă și verificată pentru construcția concretă. Asta nu înseamnă că un anumit circuit trebuie lăsat universal sub tensiune. Înseamnă că eficacitatea funcției de susținere trebuie păstrată.
„Dar după E-STOP nu ar trebui să mai existe energie.” Gravitația nu trece prin contactorul nostru. Nu se va opri odată cu el.
Și sistemul de stingere poate fi oprit impecabil
Al doilea exemplu: mașina are un sistem de stingere a incendiului a cărui activare necesită energie electrică. Comanda stingerii și elementul care declanșează agentul de stingere sunt alimentate din circuitul întrerupt de E-STOP.
Materialul se aprinde. Operatorul activează oprirea de urgență. Acționările se opresc, dar materialul continuă să ardă. Sistemul de stingere nu-și mai poate îndeplini sarcina fiindcă tocmai a fost deconectat. Sistemul este funcțional. Trebuie doar să ne asigurăm că, în caz de incendiu, nimeni nu apasă mai întâi oprirea de urgență. O asemenea condiție nu are ce căuta în proiect.
ISO 13850 menționează stingerea incendiului drept exemplu de funcție de protecție care nu trebuie afectată negativ. Asta nu înseamnă că procesul trebuie lăsat să funcționeze neschimbat în timpul incendiului. Trebuie stabilită reacția adecvată: ce acțiuni încetează, ce surse de pericol sunt deconectate și cum se păstrează eficacitatea protecției la incendiu.
„Oprește tot” nu soluționează aceste aspecte. Le ocolește printr-o singură comandă.
Categoria 0 nu înseamnă „întreaga mașină fără tensiune”
ISO 13850 prevede oprirea de urgență de categoria 0 sau 1, aleasă pe baza evaluării riscului. La categoria 0, alimentarea elementelor de acționare este întreruptă imediat. Asta nu înseamnă că mișcarea încetează imediat; poate fi necesară o frânare suplimentară.
La categoria 1, alimentarea elementelor de acționare rămâne disponibilă pe durata opririi, iar energia este întreruptă după atingerea opririi. Categoria descrie modul de oprire. Nu este o comandă de deconectare a tuturor echipamentelor desenate pe aceeași schemă.
Alegerea categoriei de oprire nu înlocuiește verificarea dispozitivului de prindere, a frânei sau a sistemului de stingere. Nici timpul de cădere al contactorului nu demonstrează că mișcarea periculoasă s-a încheiat corect ori că oprirea nu a creat un alt pericol.
Nu este vorba despre menținerea acțiunilor periculoase sub pretextul „păstrării protecției”. Sunt două sarcini distincte: să întrerupem ceea ce amenință omul și să nu neutralizăm ceea ce trebuie să-l protejeze în continuare.
Au oprit totul. Atât de riguros, încât au oprit și echipamentul care trebuia să protejeze omul. Mențiunea „oprire de urgență conform standardului” nu repară proiectul.
5. Operatorul nu trebuie să ghicească dacă apăsarea va înrăutăți situația
„Operatorul știe ce trebuie să oprească și în ce ordine.” Poate fi descrierea pregătirii unei linii pentru o oprire planificată. Ca explicație a opririi de urgență, înseamnă că o parte din sarcina sistemului de comandă a fost transferată memoriei omului.
Acesta trebuie să recunoască pericolul, să-și amintească dependențele dintre echipamente și să execute secvența corectă. Preferabil fără greșeală, fiindcă ordinea ar avea importanță pentru securitate. Întregul ciclu de producție a fost automatizat. Pentru oprirea sigură s-a decis revenirea la muncă manuală.
ISO 13850 cere ca decizia de acționare a dispozitivului să nu necesite analizarea consecințelor utilizării sale. Omul trebuie să recunoască nevoia de intervenție. Nu trebuie să mai stabilească și dacă apăsarea butonului agravează situația.
O singură acțiune a omului nu înseamnă o singură acțiune a mașinii
Oprirea de urgență se inițiază printr-o singură acțiune. După declanșare, mișcările și acțiunile periculoase trebuie oprite în modul corect, fără o intervenție suplimentară necesară pentru oprirea lor. Standardul permite utilizarea unei secvențe prestabilite.
O singură apăsare poate iniția mai multe acțiuni coordonate. Nu rezultă nici obligația opririi simultane a tuturor echipamentelor, nici permisiunea ca operatorul să oprească manual restul instalației. Dacă securitatea cere o anumită ordine, aceasta se stabilește în proiectare. Tot atunci se decide ce acțiuni trebuie să înceteze, ce protecții rămân eficiente și ce stare trebuie atinsă.
Mențiunea „oprire secvențială” nu răspunde singură acestor întrebări. Nici nu trebuie automatizată fiecare operație ulterioară de salvare. Cerința privind oprirea fără intervenție suplimentară se referă la acțiunile periculoase ale mașinii. Mijloacele separate pentru eliberarea unei persoane pot necesita operare conștientă, conform soluției proiectate.
Una este acționarea funcției de eliberare. Alta este să fie nevoie de un al doilea buton pentru oprirea unei mișcări care continuă să amenințe persoana prinsă.
Fiecare furnizor și-a oprit echipamentul. Alimentarea continuă
Să analizăm o linie pentru prelucrarea profilelor lungi. Mașina de prelucrare și alimentatorul au sisteme de comandă separate. Dispozitivul de oprire de urgență de lângă mașină oprește scula, dar nu și alimentatorul, care continuă să împingă profilul în zona de lucru.
În situația analizată, avansul materialului poate strivi omul. Scula s-a oprit. Materialul continuă să se deplaseze. Explicația furnizorului: „Alimentatorul are propriul buton-ciupercă.” Îl are. Numai că omul tocmai a folosit dispozitivul aflat lângă locul pericolului și nu a obținut reacția necesară.
Limitele furniturilor sunt clare. Mai trebuie doar să ne asigurăm că și situația de urgență le respectă. Interacțiunea echipamentelor trebuie inclusă în analiză. Dacă alimentarea menține pericolul, oprirea trebuie să o ia în considerare.
Verificarea separată a reacției fiecărei mașini la propriul buton nu demonstrează eficacitatea reacției întregii linii. Asta nu înseamnă că fiecare buton trebuie să oprească întreaga fabrică. Înseamnă că aria de acțiune nu se stabilește după marginea dulapului electric sau după firma care a scris programul.
„Care buton-ciupercă?” se decide înaintea situației de urgență
Punctul de plecare din ISO 13850 este acoperirea întregii mașini de către dispozitivul de oprire de urgență. Standardul permite împărțirea pe arii de acțiune, de exemplu când oprirea tuturor mașinilor interconectate ar crea pericole suplimentare sau ar afecta inutil producția.
Împărțirea cere o analiză a amplasării mașinilor, a posibilității de recunoaștere a pericolului, a consecințelor asupra procesului și a pericolelor asociate. Ariile se pot suprapune. Activarea opririi într-o arie nu trebuie să mărească riscul în alta și nici să împiedice inițierea opririi de urgență acolo.
Evitarea unei opriri inutile este permisă. Menținerea unui avans periculos nu devine, prin această etichetă, optimizare de producție.
Omul trebuie să poată asocia dispozitivul cu pericolul și să-i recunoască aria de acțiune. Pot fi folosite amplasarea și pictogramele, evitând necesitatea citirii instrucțiunilor sau memorării prealabile a împărțirii. Marcajul „S14” permite găsirea butonului în schemă. Nu îi explică persoanei de lângă mașină ce echipamente se vor opri.
Documentația electrică poate fi citită la birou. În timpul intervenției este bine ca această parte a proiectării să fie deja încheiată. Cu cât acțiunea omului trebuie să fie mai simplă, cu atât reacția mașinii trebuie stabilită mai riguros.
În situația de urgență nu se organizează o ședință între proiectant, automatist și tehnolog. Aceste acorduri trebuie să existe deja în proiect.
6. Mențiunea „E-STOP funcționează” nu înlocuiește evaluarea protecției
„Au fost verificate toate butoanele. Rezultat pozitiv.” Procesul-verbal conține identificatoarele dispozitivelor, date și semnături. După fiecare apăsare, mașina s-a oprit. Lipsește doar informația despre reacția considerată corectă, în afară de faptul că nimic nu se mai deplasa.
Butonul a fost verificat după numărul din schemă. Funcției trebuiau să-i fie stabilite și cerințele.
Mai întâi criteriul, apoi rezultatul pozitiv
Înaintea probei trebuie cunoscut efectul urmărit. Ce acțiuni încetează? În cât timp, în ce arie și în ce condiții? Ce trebuie să rămână eficient? Ce comportament arată că cerințele nu au fost îndeplinite?
Fără asemenea criterii, este ușor să declarăm corect exact ceea ce am observat. Acționarea s-a oprit după câteva secunde? Probabil așa trebuia. Secțiunea alăturată funcționează în continuare? Probabil nu face parte din arie. Documentația nu a stabilit nimic, deci rezultatul nu are cu ce să intre în contradicție.
Dacă stabilim criteriul după probă, putem proiecta foarte ușor o mașină care trece întotdeauna testul. Este suficient să nu-i cerem mai mult decât tocmai a făcut.
În practică, verificarea poate fi structurată astfel:
| Domeniu | Ce trebuie stabilit? | Ce trebuie consemnat sau indicat în documentație? |
|---|---|---|
| Situația de urgență | Pentru ce situație existentă sau iminentă este necesară intervenția? Cine o poate iniția? | Scenariul, activitățile omului, starea mașinii și amplasarea dispozitivului accesibil. |
| Efectul de protecție urmărit | Ce trebuie să schimbe activarea funcției? Ce acțiune periculoasă trebuie întreruptă sau limitată? | Starea cerută și condițiile atingerii ei; după caz, acțiunile suplimentare și mijloacele de eliberare. |
| Reacția mașinii | Ce se oprește, în ce ordine, în cât timp și în ce arie? | Descrierea funcției, categoria de oprire, secvența, limitele de timp și relațiile cu celelalte echipamente. |
| Protecția rămasă activă | Ce trebuie să funcționeze în continuare? Creează reacția un pericol nou sau agravează situația în altă arie? | Cerințele pentru funcțiile păstrate, justificarea soluției și rezultatul verificării interacțiunii. |
| Confirmarea | Prin ce s-a demonstrat că realizarea respectă cerințele stabilite? | Rezultatele analizelor, probelor și măsurărilor, condițiile de testare, configurația verificată și soluționarea neconformităților. |
Aceasta este o propunere de organizare a verificării, nu un formular din ISO 13850 și nici un plan complet de validare. Domeniul analizelor și încercărilor trebuie adaptat funcției, mașinii și metodei de evaluare folosite.
PL și SIL nu completează descrierea lipsă a funcției
ISO 13850 cere ca elementele sistemului de comandă legate de securitate care realizează oprirea de urgență să respecte cerințele aplicabile din ISO 13849-1 și/sau IEC 62061. Standardul indică și un minim: PLr c sau SIL 1.
Minimul nu înseamnă că nivelul respectiv este suficient automat pentru orice aplicație. Nivelul necesar trebuie stabilit pentru funcția concretă, ținând seama de scopul ei și de cerințele specifice aplicabile. Nu este suficient să copiem PL e din fișa releului. Trebuie evaluată realizarea întregii funcții, nu doar un element.
Nici calculul corect pentru întregul sistem nu înlocuiește validarea. ISO 13849-1:2023 separă verificarea PL atins de validarea realizată prin analiză și încercări. Cere și verificarea coerenței și caracterului complet al specificației funcției în raport cu utilizarea prevăzută.
Standardul nu cere doar să verificăm dacă programatorul a executat fidel o cerință formulată greșit. Trebuie verificat și dacă sarcina a fost formulată corect.
Rezultatul trebuie să privească mașina executată
Verificarea nu se încheie când mișcarea a încetat. Funcția trebuie să fie disponibilă și eficientă în toate modurile de funcționare relevante, să mențină oprirea și să împiedice reluarea acțiunilor oprite printr-un simplu semnal de pornire. Deblocarea dispozitivului nu trebuie să repornească automat mașina.
Și aceste condiții trebuie verificate. Cerințelor li se atribuie dovezi care confirmă funcționarea funcției: poziția relevantă din procesul-verbal, rezultatul măsurării, analiza, versiunea schemei și versiunea programului.
Nu este suficient un fișier numit „test safety” dacă nu știm ce s-a testat și după ce criteriu rezultatul a fost declarat corect. Încercările trebuie planificate fără expunerea oamenilor la pericol. Nu se reproduce o antrenare cu participarea unei persoane pentru a verifica eliberarea. Se folosesc metode sigure de testare, analiză și simulare, adecvate soluției.
Absența verificării nu este un rezultat pozitiv, chiar dacă formularul are o singură căsuță de bifat.
După confirmarea reacției de urgență rămâne întrebarea separată privind protecția preventivă. Un E-STOP realizat corect nu îndeplinește cerința care revenea apărătorii lipsă sau unei alte proiectări a accesului.
Dacă procesul-verbal nu întreabă ce s-a întâmplat cu pericolul, rezultatul pozitiv nu ar trebui să liniștească pe nimeni.
7. Protecția nu este promisiunea că, la nevoie, va exista un buton
Funcția preventivă de securitate trebuie să împiedice un eveniment periculos determinat. Funcția de oprire de urgență trebuie să permită intervenția adecvată când situația există deja sau este iminentă. Ambele necesită proiectare și verificare. Una nu execută sarcina celeilalte doar fiindcă ambele pot opri o acționare.
Un proiect nu devine complet prin adăugarea unui buton de urgență dacă lipsește protecția împotriva unui eveniment previzibil. Nu o completează instruirea operatorului, un PL ridicat sau o probă reușită limitată la încetarea mișcării.
Și intervenția cere mai mult decât stabilirea ieșirilor care vor fi dezactivate. Trebuie definită oprirea adecvată, păstrată protecția necesară și prevăzute acțiunile pentru controlarea situației. Aceasta este muncă de proiectare. Omul de lângă mașină nu trebuie să o termine în clipa pericolului.
Nu este vorba despre minimalizarea E-STOP. Este vorba despre a nu-i atribui o protecție pe care nu o asigură și despre a nu-i elimina acțiunile de care poate depinde o intervenție eficientă.
Funcția de oprire de urgență trebuie să ajute la controlarea situației periculoase, nu să justifice absența protecției împotriva apariției ei. Dacă, după întreaga evaluare, putem spune doar „mașina s-a oprit”, atunci am verificat oprirea. Pentru securitatea omului s-ar putea să mai fie de lucru.
Oprirea este un rezultat tehnic. Protecția omului este criteriul după care trebuie judecat acel rezultat.
Surse și note
Analiza funcției se bazează pe ISO 13850:2015. Trimiterile de mai jos indică prevederile utilizate. Linkurile către standarde duc la fișele în limba engleză ale editorului, nu la copii publice ale textelor integrale. Articolele asociate dezvoltă subiectele, dar nu înlocuiesc sursele normative.
[1] Scopul funcției și rolul ei suplimentar. ISO 13850:2015, punctele 3.1, 3.5, 3.8 și 4.1.1.1–4.1.1.3: scopul opririi de urgență, inițierea de către om, noțiunile de funcție de securitate și situație de urgență, precum și interdicția înlocuirii celorlalte măsuri de protecție. Distincția privește sarcina preventivă și intervenția de urgență; nu exclude oprirea de urgență dintre funcțiile legate de securitate.
[2] Cortina și oprirea înaintea contactului periculos. ISO 12100:2010, punctele 6.3.2.5.1–6.3.2.5.2: condițiile utilizării echipamentelor de protecție sensibile, posibilitatea opririi, amplasarea câmpului de detectare și legătura cu sistemul de comandă. Standardul trimite la ISO 13855 pentru amplasare. Exemplul nu reprezintă un calcul al distanței și nici o selecție completă a cortinei.
[3] Posibilitatea intervenției omului și limitele instrucțiunilor. ISO 12100:2010, punctele 5.5.2.3.3 și 6.1, privind factorii care influențează posibilitatea evitării sau limitării prejudiciului și interdicția înlocuirii măsurilor adecvate prin informații pentru utilizator. ISO/TR 14121-2:2012, punctul 8.4, indică oprirea de urgență drept exemplu de măsură care influențează în principal posibilitatea evitării sau limitării prejudiciului. Este o indicație dintr-un raport tehnic, nu o bază pentru reducerea automată a unei valori într-un graf de risc. Accesibilitatea dispozitivelor este tratată în ISO 13850:2015, punctele 4.3.1–4.3.2.
[4] Acțiunile suplimentare și eliberarea omului. ISO 13850:2015, domeniul de aplicare și punctele 4.1.1.2 și 4.1.1.5: păstrarea eficacității altor funcții de protecție și posibilitatea inițierii unor acțiuni diferite de simpla oprire. Cerințele detaliate pentru asemenea acțiuni nu sunt acoperite de standard. ISO 12100:2010, punctele 6.3.5.2–6.3.5.3, diferențiază oprirea de urgență de mijloacele pentru eliberarea și salvarea persoanelor prinse.
[5] Păstrarea protecției și categoriile de oprire. ISO 13850:2015, punctele 4.1.1.2, 4.1.1.4–4.1.1.5 și 4.1.3. Sunt menționate eliberarea persoanelor, stingerea incendiilor și posibila necesitate de a păstra funcționarea dispozitivelor electromagnetice de prindere sau a frânelor. Descrierea categoriilor 0 și 1 nu presupune izolarea întregului echipament de toate sursele de energie.
[6] O singură acțiune, secvența și ariile de acțiune. ISO 13850:2015, punctele 4.1.1.1, 4.1.1.5–4.1.1.6 și 4.1.2–4.1.2.1: reacția adecvată fără intervenție suplimentară pentru oprirea acțiunilor periculoase, posibilitatea unei secvențe stabilite, proiectarea efectelor utilizării dispozitivului și condițiile împărțirii pe arii.
[7] PL, SIL, menținerea opririi și rearmarea. ISO 13850:2015, punctul 4.1.5.1: aplicarea ISO 13849-1 și/sau IEC 62061, nivelul minim PLr c sau SIL 1 și posibilitatea utilizării în comun a elementelor. Punctele 4.1.1.2 și 4.1.4 tratează disponibilitatea funcției, menținerea opririi și rearmarea care nu inițiază repornirea. Pentru aplicația concretă trebuie luate în calcul și cerințele specifice, inclusiv standardul de tip C aplicabil.
[8] Cerințele funcției și validarea. ISO 13849-1:2023, capitolul 8 și punctele 10.1.1, 10.2 și 10.4.1: verificarea PL atins, validarea prin analiză și încercări, verificarea caracterului complet și coerent al specificației, precum și stabilirea prealabilă a planului de încercări și a rezultatelor așteptate. Tabelul din articol este o propunere de organizare a informațiilor, nu un plan complet de validare aplicabil oricărui sistem.
[9] Contextul cerințelor Uniunii Europene. Directiva 2006/42/CE — textul în limba engleză pe EUR-Lex, anexa I, punctele 1.2.4.3–1.2.4.4, și Regulamentul (UE) 2023/1230 — textul în limba engleză pe EUR-Lex, anexa III, punctele 1.2.4.3–1.2.4.4: rolul suplimentar al opririi de urgență, evitarea riscurilor suplimentare, mișcările de protecție și oprirea echipamentelor asociate a căror funcționare poate rămâne periculoasă. Regulamentul se aplică în principal începând cu 20 ianuarie 2027; dispozițiile tranzitorii și data aplicării sunt stabilite la articolele 52 și 54. Invocarea unui standard nu reprezintă, prin ea însăși, o afirmație privind armonizarea acestuia cu un anumit act juridic.
Caracterul exemplelor și limitele utilizării. Posturile de lucru, sistemele de alimentare, înregistrările din documentație și afirmațiile citate sunt exemple-model. Nu descriu un accident stabilit și nu reprezintă instrucțiuni de salvare pentru o anumită mașină. Depărtarea elementelor, eliberarea apăsării și inversarea cer proiectare adecvată și evaluarea efectelor. Articolul tratează rolul și logica funcției, nu toate cerințele ISO 13850; domeniul de aplicare și excepțiile sunt stabilite în capitolul 1 al standardului.