„Pri nebezpečenstve operátor stlačí hríbik.“ Takto sa dá pokúsiť uzavrieť diskusia o ochrane stroja. Tlačidlo je namontované, obvod funguje a pri skúške sa stroj zastavil. Zostáva už len predpokladať, že človek nebezpečenstvo spozoruje, stihne zareagovať a urobí to, čo predtým nezabezpečila konštrukcia ani ochrana pracoviska. Projektant však nemôže započítať reflex operátora ako náhradu chýbajúceho ochranného opatrenia.
Preventívna bezpečnostná funkcia má zabrániť konkrétnej nebezpečnej udalosti. Funkcia núdzového zastavenia má umožniť zásah proti existujúcej alebo bezprostredne hroziacej núdzovej situácii, obmedziť jej rozvoj a zmierniť následky. Môže pomôcť zabrániť úrazu. Nestáva sa tým však náhradou ochrany, ktorá má zabrániť vzniku nebezpečnej udalosti. To je rozdiel medzi zabezpečenou ochranou a nádejou na úspešný zásah človeka. Pri posudzovaní rizika sa tento rozdiel nesmie stratiť pod spoločnou vetou „použil sa bezpečnostný systém“.
ISO 13850 označuje núdzové zastavenie za doplnkové ochranné opatrenie. Nie preto, že by bolo málo dôležité. Má dopĺňať ostatné ochranné opatrenia, nie ospravedlňovať ich absenciu.
Ďalšie nedorozumenie sa začína uistením: „Po stlačení odpojíme všetko.“ Znie to rozhodne. Lenže zastavený stroj nemusí byť bezpečný stroj. Človek môže zostať uväznený a vypnutie zariadenia, ktoré ho malo chrániť, môže situáciu ešte zhoršiť. Samotný pokojový stav nehovorí, či bolo nebezpečenstvo zvládnuté.
Úlohu núdzového zastavenia preto nemožno zredukovať na odpojenie čo najväčšieho počtu zariadení. Treba určiť, ktoré nebezpečné pohyby a procesy musia skončiť, v akom poradí a čo musí zostať v činnosti na ochranu človeka. V niektorých aplikáciách budú potrebné aj ďalšie ochranné činnosti, nielen zastavenie.
Operátor musí vedieť spustiť reakciu jedným úkonom. Pred stlačením tlačidla nemá premýšľať, či následky vypnutia nebudú horšie než aktuálne nebezpečenstvo. To sa musí vyriešiť pri projektovaní. Čím jednoduchší má byť zásah človeka, tým menej priestoru možno ponechať na nepremyslené následky reakcie stroja.
Ak sa preberacia skúška obmedzila na overenie, či sa pohon zastavil, možno potvrdiť zastavenie a stále nezodpovedať najdôležitejšiu otázku: vykonal stroj správnu činnosť vzhľadom na núdzovú situáciu? Záznam „E-STOP funguje“ nevysvetľuje, čomu zabraňuje ostatná ochrana ani čo sa po použití tlačidla stane s človekom.
Možnosť zastaviť stroj nie je dôkazom správnej ochrany. A zastavenie pohybu nemusí znamenať koniec nebezpečenstva.
1. Prevencia a núdzová reakcia nie sú dva spôsoby riešenia toho istého problému
„Svetelná clona zastaví stroj. Tlačidlo tiež. Prečo to komplikovať?“ Ak by o účinnosti ochrany rozhodovalo iba to, či sa nakoniec zastaví motor, otázka by bola celkom rozumná. Stačilo by porovnať dve schémy, nájsť rovnaký stýkač a vyhlásiť, že rozdiel je najmä v cene.
Vynechalo sa iba to, kedy sa stroj zastaví a čo sa dovtedy môže stať človeku. Preventívna bezpečnostná funkcia má zabrániť určenej nebezpečnej udalosti. Núdzové zastavenie má reagovať na existujúcu alebo bezprostredne hroziacu núdzovú situáciu. V oboch prípadoch môže byť potrebné zastavenie pohybu. Neznamená to, že sa rieši rovnaká úloha.
Svetelná clona nečaká, kým človek dosiahne na nástroj
Predstavme si pracovisko, na ktorom môže človek dosiahnuť na pohybujúci sa nástroj. Predpokladajme, že prístup možno chrániť svetelnou clonou: nebezpečný pohyb sa dá zastaviť počas cyklu a k nástroju nemožno preniknúť mimo detekčného poľa.
Svetelná clona zaznamená ruku a iniciuje zastavenie. Jej vzdialenosť od nástroja zohľadňuje dobu reakcie celého systému a dobu dobehu stroja. Nebezpečný pohyb musí skončiť skôr, než naň človek dosiahne. To je úloha tejto funkcie. Nie samotné prepnutie výstupov ani zobrazenie hlásenia „bezpečnostné zastavenie“ na paneli.
Ak ruka môže dosiahnuť na pohybujúci sa nástroj skôr, než sa stroj zastaví, ochrana pred kontaktom nebola zabezpečená. A to aj vtedy, keď svetelná clona správne zareagovala, riadiaci systém prijal signál a pohon vykonal príkaz. Všetky zariadenia môžu fungovať presne podľa projektu. Chybný môže byť samotný projekt.
Preto sa overenie svetelnej clony nekončí prerušením lúčov. Treba preukázať, že detekcia a zastavenie skutočne zabránia udalosti, pred ktorou mali človeka chrániť.
Pri núdzovom zastavení musí zásah iniciovať človek
Zariadenie núdzového zastavenia nepreberá úlohu detekcie prístupu. Umožňuje človeku spustiť navrhnutú reakciu na situáciu vyžadujúcu okamžitý zásah. Nemuselo ešte dôjsť k úrazu. ISO 13850 zahŕňa aj bezprostredne hroziacu situáciu. Niekto môže spozorovať nebezpečný vývoj a stlačiť tlačidlo skôr, než vznikne škoda. Zásah však môže byť potrebný aj vtedy, keď nebezpečné pôsobenie už prebieha.
V prvom prípade ochranu spustí detekcia ruky. V druhom musí človek rozpoznať potrebu zásahu a následne konať. Tieto úlohy nemožno stotožniť vetou „oboje zastavuje“.
Ak by sme v našom príklade odstránili svetelnú clonu a ponechali iba tlačidlo, automatické zastavenie po zistení ruky by už nikto nezabezpečoval. Rozpoznanie problému aj spustenie reakcie by sa prenieslo na človeka. Z projektu sa odstránila detekcia a do odôvodnenia sa dopísalo, že operátor je vyškolený. Úspora je skutočná. Rovnocennosť ochrany vymyslená.
Práve preto ISO 13850 označuje núdzové zastavenie za doplnkové ochranné opatrenie a zakazuje ním nahrádzať technické ochranné opatrenia alebo iné potrebné funkcie. Núdzové zastavenie je bezpečnostnou funkciou. To však neznamená, že mu možno prideliť ľubovoľnú ochrannú úlohu.
Rovnaké relé tento rozdiel nevyrieši
Funkcie môžu zdieľať prvky riadenia, ak sú splnené príslušné požiadavky. Nie je potrebné rozmnožovať prístroje len preto, aby ich bolo viac. Osobitne však treba určiť, čo spúšťa každú funkciu a aký ochranný cieľ má dosiahnuť.
Pri svetelnej clone overujeme ochranu pred nebezpečným kontaktom. Pri núdzovom zastavení overujeme správnu reakciu na posudzovanú núdzovú situáciu, ktorá sa nemusí skončiť samotným zastavením pohybu. Skúška tlačidla núdzového zastavenia nepotvrdí, že človek nedosiahne na pohybujúci sa nástroj. Rovnako správne použitá svetelná clona nezodpovie všetky otázky o potrebnom núdzovom zásahu.
Spoločný stýkač možno odôvodniť. Spoločné „vyhovuje“ pre dve rozdielne úlohy však nestačí skopírovať.
2. „Operátor to stihne“ nie je ochranné opatrenie stroja
Predstavme si pracovisko s ručným podávaním, pri ktorom zostal prístupný reťazový pohon. Možnosť zachytenia sa identifikovala. Do posúdenia rizika sa zapísali tieto ochranné opatrenia: tlačidlo núdzového zastavenia, označenie a školenie operátora. Po ich zohľadnení bolo riziko vyhlásené za prijateľné.
Reťaz je stále prístupná. Pracovník pri nej vykonáva rovnaké úkony. Zmenila sa farba bunky v tabuľke. Na ochranný kryt nezostal rozpočet. Reflex operátora sa zapísal bezplatne.
Čo presne znížilo riziko?
Samotné namontovanie tlačidla neobmedzilo prístup k pohonu. Neznížilo frekvenciu práce v jeho blízkosti ani neodstránilo schopnosť mechanizmu zachytiť človeka. Vznikla možnosť iniciovať núdzové zastavenie. Teraz treba preukázať, za akých okolností môže tento zásah pomôcť.
Kto si nebezpečenstvo všimne? Podľa čoho ho rozpozná? Bude schopný dosiahnuť na zariadenie? Zostane medzi rozpoznaním situácie a vznikom škody dostatok času na účinný zásah?
Odpoveď „operátor bol vyškolený“ rieši iba časť týchto otázok. Potvrdzuje prípravu na určité úkony. Nedokazuje, že človek bude mať fyzickú možnosť vykonať ich v posudzovanej situácii. Podpis na prezenčnej listine neskráti dobu dobehu a nepredĺži čas zostávajúci do zachytenia.
Núdzové zastavenie môže zlepšiť možnosť vyhnúť sa škode alebo obmedziť jej následky. Pri posudzovaní rizika teda nie je bezcenné. Tento prínos však treba spojiť s konkrétnym priebehom udalostí. Nemožno ho automaticky prideliť za prítomnosť červeného tlačidla.
Ak sa v našom príklade nepreukázala možnosť účinného zásahu, samotný zápis „E-STOP a školenie“ neodôvodňuje dostatočnú ochranu pred zachytením.
Zmeral sa čas od stlačenia, nie od začiatku nebezpečenstva
Počas skúšky stojí technik pri zariadení, vie, čo ide urobiť, a sám iniciuje zastavenie. Meranie ukáže čas od aktivácie zariadenia núdzového zastavenia do skončenia nebezpečného pohybu. Je to potrebný údaj. Nezahŕňa však všetko, čo sa v skutočnej situácii musí odohrať predtým: spozorovanie nebezpečenstva, rozpoznanie potreby zásahu a vykonanie úkonu.
Pre riadiaci systém sa stanovila doba reakcie. Pri operátorovi sa predpokladalo, že to stihne.
Pracovník môže mať obe ruky zamestnané podávaním dielca. Môže stáť mimo dosahu tlačidla alebo potrebovať pomoc práve preto, že už sám nedokáže zariadenie aktivovať. Aj predpoklad, že zasiahne kolega, treba overiť. Druhá osoba musí byť prítomná, vidieť situáciu a mať možnosť konať. Pri pracovisku sa nezjaví tým, že do posúdenia rizika zapíšeme „pomoc spolupracovníka“.
Dostupnosť zariadenia sa preto kontroluje vzhľadom na miesta a činnosti, pri ktorých môže byť zásah potrebný. Nie iba z polohy človeka pohodlne stojaceho pred ovládacím panelom počas preberania.
Funkčný systém nemusí dostať príkaz včas. Nie je to porucha relé, ktorú odhalí diagnostika. Je to neoverený predpoklad o účasti človeka. Skrátenie doby reakcie riadiaceho systému ho nevyrieši, ak hlavný problém vzniká ešte pred stlačením tlačidla.
„Zachovajte zvýšenú opatrnosť.“ Najlepšie počas celej zmeny
Pri pracovisku sa objaví pokyn: „Operátor musí zachovať zvýšenú opatrnosť, nepretržite sledovať stroj a pri nebezpečenstve okamžite použiť núdzové zastavenie.“ Táto veta sa hodí takmer ku každému stroju. Práve preto vysvetľuje tak málo.
Predstavme si, že operátor odoberá hotové výrobky, kontroluje ich kvalitu a odkladá ich do nádoby za pracoviskom. Návod zároveň vyžaduje „nepretržité sledovanie nebezpečného priestoru“. Aby človek výrobok odložil, musí sa otočiť. Neignoruje návod, netelefonuje a nevymýšľa si vlastný pracovný postup. Vykonáva úkon predpokladaný projektantom. Tým istým projektantom, ktorý bezpečnosť podmienil sledovaním opačného smeru.
Obsluha bola naplánovaná pre jednu osobu. Požadovaná pozornosť očividne pre dve.
Pokyn „okamžite zastaviť“ problém nevyrieši. Najskôr musí niekto zistiť, že zastavenie je potrebné. Ak je koncepcia ochrany založená na nepretržitom sledovaní a plánované pracovné úlohy toto sledovanie prerušujú, predpoklady si odporujú. Slovo „zvýšená“ pred slovom „opatrnosť“ tento rozpor neodstráni. Iba zvýši nároky na operátora bez zmeny podmienok, v ktorých ich má splniť.
Nejde o odstránenie upozornení z návodu. Upozornením však nemožno dokončiť prácu, ktorá sa nevykonala pri návrhu ochrany. Informácie pre používateľa majú pri znižovaní rizika svoje miesto. Nenahrádzajú správne konštrukčné a technické ochranné opatrenia.
Rovnako núdzové zastavenie dopĺňa ochranu. Neprenáša jej úlohu na nepretržitú ostražitosť človeka. Opísané pracovisko treba posúdiť aj vtedy, keď operátor správne vykonáva úkon odvádzajúci jeho pozornosť od stroja. Nie až po udalosti zisťovať, prečo sa práve nepozeral.
„Dávaj pozor“ môže byť upozornenie. Nie je to technické ochranné opatrenie dodané vo forme vety.
3. Zastavený stroj môže človeka stále ohrozovať
V opise funkcie sa uvádza: „Po aktivácii núdzového zastavenia sa zastavia pohony a stroj prejde do bezpečného stavu.“ Prvú časť možno overiť: pohony prestali spôsobovať nebezpečný pohyb. Druhá vyžaduje zistiť, čo okrem pohybu ohrozovalo človeka a čo sa s týmto nebezpečenstvom stalo.
Dopísať „bezpečný stav“ za slovo „zastavenie“ je jednoduché. V konštrukcii stroja však tento vzťah nevznikne čiarkou vo vete. Skončenie pohybu môže prerušiť rozvoj núdzovej situácie, no človek môže zostať stlačený, zakliesnený alebo bez možnosti úniku. Stroj nemusí vykonať ďalší cyklus, aby naďalej spôsoboval škodu.
Rýchlosť klesla na nulu. Prítlačná sila nemusela
Uvažujme sústavu valcov, v ktorej prítlak jedného valca vytvárajú pružiny. Končatina bola zachytená, aktivoval sa E-STOP a otáčanie sa zastavilo. Ďalšie vťahovanie skončilo, ale valce zostali pritlačené. Pohon vykonal príkaz. Pružiny tiež fungujú podľa projektu. Človek zostáva stlačený.
Neznamená to, že zastavenie bolo nepotrebné alebo neúčinné pri prerušení vťahovania. Znamená to, že nevyriešilo celú situáciu. Prerušenie nebezpečného pohybu a umožnenie vyslobodenia sú dve rozdielne úlohy, ktoré treba zosúladiť.
Ak analýza zahŕňa zachytenie, musí určiť aj spôsob vyslobodenia človeka. Podľa konštrukcie môže byť potrebné oddialiť prvky, uvoľniť prítlak alebo použiť vhodne navrhnutý spätný pohyb. Žiadne z týchto riešení nie je automaticky správne pre každý stroj. Problém nemožno vyhlásiť za vyriešený len preto, že sa po zastavení prestal pohybovať.
ISO 13850 neobmedzuje núdzovú reakciu na nehybnosť
ISO 13850 pripúšťa, že núdzové zastavenie môže iniciovať aj iné činnosti než samotné zastavenie, napríklad obrátenie alebo obmedzenie pohybu. Cieľom je obmedziť možnosť vzniku škody, nie dosiahnuť čo najväčší počet vypnutých výstupov.
Zastaviť sa musia nebezpečné pohyby a procesy. Z toho nevyplýva, že každý pohyb vykonaný v rámci núdzovej reakcie je neprípustný. Správne navrhnutý pohyb môže človeka chrániť.
Slovo „správne“ tu nie je ozdoba. Pri spätnom pohybe treba určiť, či naozaj pomôže pri posudzovanom uväznení. Neprehĺbi poranenie? Nevytvorí iné miesto zachytenia? Čo sa stane s prítlakom? Aký rozsah pohybu a aký spôsob ovládania sú potrebné?
Zmena znamienka zadanej rýchlosti ešte nie je návrhom záchrannej funkcie, hoci v programe môže zabrať jediný riadok. ISO 13850 možnosť takýchto činností uvádza, ale neurčuje podrobné požiadavky na ich realizáciu. Samotný odkaz na normu preto nepotvrdzuje, že ľubovoľný spätný chod alebo otvorenie mechanizmu bude bezpečné. To sa musí posúdiť na konkrétnom riešení.
Zastavenie nesmie znemožniť vyslobodenie
Treba rozlišovať medzi dodatočnou činnosťou zahrnutou priamo do reakcie na E-STOP a samostatnou funkciou určenou na vyslobodenie človeka po zastavení. V prvom prípade je činnosť súčasťou navrhnutej núdzovej reakcie. V druhom zastavenie nevykoná celé vyslobodenie, ale zachová možnosť uskutočniť ho vhodnými prostriedkami.
Nie každý stroj má po stlačení tlačidla automaticky oddialiť prvky alebo vykonať spätný pohyb. ISO 13850 však vyžaduje, aby núdzové zastavenie negatívne neovplyvnilo iné ochranné funkcie. Výslovne sa to týka aj vyslobodzovania uväznených osôb.
To je podstatné, keď zaznie vysvetlenie: „Vyslobodiť ho možno, ale najskôr musíme obnoviť normálnu prevádzku.“ Funkcia vyslobodenia má umožniť záchranu človeka, nie znovu sprístupniť všetky výrobné pohyby s nádejou, že niekto použije iba ten správny. Podmienky aktivácie, dostupné pohyby a spôsob ich obmedzenia treba navrhnúť vopred. Nie až vtedy, keď niekto skutočne potrebuje pomoc.
Po zastavení sa nepýtajme iba „čo už stojí?“. Pýtajme sa aj: ktoré nebezpečné pôsobenie pokračuje a čo ho zvládne? Bezpečný stav nevznikne pomenovaním premennej v riadiacom systéme.
4. Prečo môže odpojenie všetkého situáciu zhoršiť
„Po stlačení tlačidla núdzového zastavenia vypneme všetky výstupy.“ Zápis je jednoduchý. Program tiež. Pri preberaní sa ľahko skontroluje, či všetko zhaslo. Lenže jeden výstup môže ovládať nebezpečný pohon a druhý zariadenie, ktoré práve chráni pred iným nebezpečenstvom. Vypnutie oboch nemusí priniesť dvojnásobnú bezpečnosť.
ISO 13850 vyžaduje nadradenosť núdzového zastavenia, ale zároveň zakazuje zhoršovať účinnosť ostatných ochranných funkcií. Môže byť potrebné zachovať činnosť pomocných zariadení, napríklad elektromagnetických uchopovačov alebo bŕzd. Nie je to rozpor v norme. Je to dôvod zistiť pred návrhom spoločného odpojenia, čo všetko je z neho napájané.
Pohon treba zastaviť. Náklad pritom nemožno zhodiť
Predstavme si zariadenie premiestňujúce oceľový diel elektromagnetickým uchopovačom, ktorý potrebuje trvalé napájanie. Udržanie nákladu závisí od jeho činnosti a konštrukcia nemá nezávislé zabezpečenie proti uvoľneniu.
Projektant zahrnie pohony aj napájanie uchopovača do spoločného odpojenia. Po aktivácii E-STOP sa pohony vypnú. Uchopovač stratí schopnosť držať náklad. Príkaz sa vykonal bezchybne. Vrátane odstránenia podopretia nákladu.
Problémom nie je nefunkčné tlačidlo ani zlepený stýkač. Zariadenia urobili presne to, čo bolo navrhnuté. Chyba spočíva v predpoklade, že všetky spotrebiče možno posudzovať rovnako len preto, že sú napájané elektricky.
Správna úloha znie: zastaviť nebezpečné premiestňovanie a zachovať bezpečné držanie nákladu. Konkrétny spôsob realizácie treba zvoliť a overiť podľa konštrukcie. Nevyplýva z toho univerzálny príkaz ponechať určitý obvod pod napätím. Vyplýva z toho povinnosť zachovať účinnosť držania.
„Po E-STOP predsa nemá zostať žiadna energia.“ Gravitácia nie je pripojená cez náš stýkač. Spolu s ním sa nevypne.
Aj hasiaci systém možno príkladne vypnúť
Ďalší príklad: stroj má hasiaci systém, ktorého spustenie vyžaduje elektrické napájanie. Riadenie hasenia aj prvok uvoľňujúci hasiacu látku sú napájané z obvodu odpájaného pri E-STOP. Materiál sa zapáli a operátor aktivuje núdzové zastavenie. Pohony sa zastavia, no horiaci materiál naďalej predstavuje nebezpečenstvo. Hasiaci systém už svoju úlohu nevykoná, pretože práve stratil napájanie.
Systém hasenia je funkčný. Treba iba zabezpečiť, aby v núdzovej situácii nikto predtým nepoužil núdzové zastavenie. Taká podmienka nemá v projekte čo robiť.
ISO 13850 uvádza hasenie požiaru ako príklad ochrannej funkcie, ktorú núdzové zastavenie nemá negatívne ovplyvniť. Neznamená to, že počas požiaru musí celý proces pokračovať bez zmeny. Treba určiť správnu reakciu: čo zastaviť, ktoré zdroje nebezpečenstva odpojiť a ako zachovať účinnosť protipožiarnej ochrany.
Príkaz „vypni všetko“ tieto otázky nerieši. Iba ich obchádza.
Kategória zastavenia 0 neznamená „celý stroj bez napätia“
ISO 13850 stanovuje kategóriu zastavenia 0/1, ktorá sa vyberá na základe posúdenia rizika. Pri kategórii 0 sa napájanie pohonných prvkov odpojí okamžite. Neznamená to okamžité skončenie pohybu; môže byť potrebné dodatočné brzdenie.
Pri kategórii 1 zostáva napájanie pohonných prvkov počas riadeného zastavovania dostupné a prívod energie sa odpojí po dosiahnutí zastavenia. Kategória opisuje spôsob zastavenia. Nie je príkazom na odpojenie všetkých zariadení, ktoré sa náhodou nachádzajú v rovnakej schéme.
Voľba kategórie teda nenahrádza kontrolu uchopovača, brzdy ani hasiaceho systému. Ani čas odpadnutia stýkača nepotvrdzuje, že nebezpečný pohyb skončil správnym spôsobom a že reakcia nevytvorila nové nebezpečenstvo.
Nejde o ponechanie nebezpečných činností pod zámienkou zachovania ochrany. Ide o oddelenie dvoch úloh: prerušiť to, čo ohrozuje, a nevyradiť to, čo má naďalej chrániť.
Vypli všetko. Tak dôkladne, že vypli aj to, čo malo chrániť človeka. Dodatok „núdzové zastavenie podľa normy“ to neopraví.
5. Operátor nemá hádať, či po stlačení nebude ešte horšie
„Operátor vie, čo má postupne vypnúť.“ To môže byť opis prípravy linky na plánovanú odstávku. Ako vysvetlenie núdzového zastavenia však znamená, že časť úlohy riadiaceho systému bola zverená pamäti človeka. Musí rozpoznať nebezpečenstvo, spomenúť si na väzby medzi zariadeniami a vykonať správnu postupnosť. Ideálne bez chyby, pretože poradie je údajne dôležité pre bezpečnosť.
Automatizácia pokrýva celý výrobný cyklus. Pri bezpečnom zastavení sa zrazu rozhodlo dôverovať ručnej práci.
ISO 13850 vyžaduje, aby rozhodnutie aktivovať zariadenie núdzového zastavenia nevyžadovalo posudzovanie následkov jeho použitia. Človek má rozpoznať potrebu zásahu. Nemá navyše zisťovať, či stlačenie tlačidla situáciu nezhorší.
Jeden úkon človeka neznamená jedinú činnosť stroja
Núdzové zastavenie sa iniciuje jedným úkonom. Po aktivácii sa nebezpečné pohyby a procesy musia zastaviť správnym spôsobom bez ďalšieho zásahu človeka. Norma pripúšťa, že na to môže byť potrebná vopred určená postupnosť.
Jedno stlačenie teda môže spustiť viacero koordinovaných činností. Neznamená to povinnosť vypnúť všetko naraz ani súhlas s tým, aby zvyšok postupne vypínal operátor. Ak bezpečnosť závisí od poradia, treba ho stanoviť pri projektovaní. Rovnako treba určiť, čo musí skončiť, čo musí zostať účinné a aký stav sa má dosiahnuť.
Zápis „sekvenčné zastavenie“ ešte tieto otázky nezodpovedá.
Nejde ani o automatizáciu každého následného záchranného úkonu. Požiadavka na zastavenie bez ďalšieho zásahu sa týka nebezpečných činností stroja. Samostatné prostriedky na vyslobodenie človeka môžu vyžadovať vedomú obsluhu podľa navrhnutého riešenia. Jedna vec je obslúžiť funkciu vyslobodenia. Iná vec je až druhým tlačidlom zastaviť pohyb, ktorý stále ohrozuje osobu čakajúcu na pomoc.
Každý dodávateľ zastavil svoje zariadenie. Podávanie pokračuje
Uvažujme linku na spracovanie dlhých profilov. Obrábací stroj a podávač majú samostatné riadenie. Zariadenie núdzového zastavenia pri stroji zastaví nástroj, ale nie podávač, ktorý ďalej zasúva profil do pracovného priestoru. V posudzovanej situácii hrozí, že ďalší posuv materiálu pritlačí človeka.
Nástroj už stojí. Materiál sa stále pohybuje. Vysvetlenie dodávateľa znie: „Podávač má vlastný hríbik.“ Má. Lenže človek použil zariadenie pri mieste nebezpečenstva a požadovanú reakciu nedostal.
Rozdelenie dodávok je zrozumiteľné. Zostáva už iba zariadiť, aby ho rešpektovala aj núdzová situácia.
Analýza musí zahŕňať vzájomné pôsobenie zariadení. Ak pokračovanie podávania udržiava posudzované nebezpečenstvo, zastavenie musí zahŕňať aj podávač. Overenie, že každý stroj samostatne reaguje na vlastné tlačidlo, nepotvrdzuje účinnosť reakcie celej linky.
Neznamená to, že každé tlačidlo musí zastaviť celý závod. Znamená to, že oblasť pôsobenia nemožno vymedziť hranicou rozvádzača ani názvom firmy, ktorá napísala program.
Otázku „ktoré tlačidlo?“ treba vyriešiť pred núdzovou situáciou
Východiskom ISO 13850 je pôsobenie zariadenia núdzového zastavenia na celý stroj. Norma však pripúšťa rozdelenie na oblasti pôsobenia, napríklad ak by zastavenie všetkých prepojených strojov vytvorilo ďalšie nebezpečenstvo alebo zbytočne zasiahlo výrobu.
Také rozdelenie vyžaduje analýzu usporiadania strojov, možnosti rozpoznania nebezpečenstva, procesných následkov a súvisiacich nebezpečenstiev. Oblasti sa môžu prekrývať. Zastavenie v jednej oblasti nesmie zvýšiť riziko v druhej ani znemožniť aktiváciu núdzového zastavenia v tejto oblasti.
Vyhnúť sa zbytočnej odstávke je prípustné. Ponechať v chode nebezpečné podávanie sa tým nestáva optimalizáciou výroby.
Človek musí vedieť spojiť zariadenie s nebezpečenstvom a rozpoznať jeho oblasť pôsobenia. Norma pripúšťa využitie umiestnenia a piktogramov a odporúča vyhnúť sa potrebe čítať návod alebo si rozdelenie vopred pamätať. Označenie „S14“ pomôže nájsť tlačidlo v schéme. Osobe pri stroji však nevysvetlí, ktoré zariadenia sa zastavia.
Elektrická dokumentácia sa dá pokojne čítať pri stole. Pri núdzovom zásahu by táto časť projektu mala byť dávno hotová. Čím jednoduchšie má byť konanie človeka, tým presnejšie treba vopred určiť reakciu stroja. Jednoduché rozhranie nenahrádza analýzu. Má byť jej výsledkom.
V núdzovej situácii sa nezvoláva porada konštruktéra, automatika a technológa. Ich dohoda už musí byť súčasťou projektu.
6. Záznam „E-STOP funguje“ nenahrádza posúdenie ochrany
„Skontrolovali sa všetky tlačidlá. Výsledok vyhovuje.“ Protokol obsahuje označenia zariadení, dátumy a podpisy. Po každom stlačení sa stroj zastavil. Chýba iba informácia, čo sa považovalo za správnu reakciu okrem toho, že sa už nič nehýbalo.
Tlačidlo sa skontrolovalo podľa čísla v schéme. Funkcii však bolo potrebné najskôr stanoviť požiadavky.
Najskôr kritérium, potom kladný výsledok
Pred skúškou treba vedieť, aký účinok sa má dosiahnuť. Ktoré činnosti musia skončiť, v akom čase, v akej oblasti a za akých podmienok? Čo musí zostať účinné? Aké správanie znamená nesplnenie požiadaviek?
Bez týchto kritérií sa za správne ľahko vyhlási presne to, čo sa podarilo pozorovať. Pohon sa zastavil po niekoľkých sekundách? Zrejme to tak malo byť. Susedná časť linky pokračuje? Asi nepatrí do oblasti. Dokumentácia nič nerozhodla, takže výsledok nemá s čím nesúhlasiť.
Ak kritérium doplníme až po skúške, veľmi ľahko navrhneme stroj, ktorý skúškou vždy prejde. Stačí nepožadovať viac, než práve urobil.
Praktické usporiadanie požiadaviek môže vyzerať takto:
| Oblasť | Čo treba určiť? | Čo zapísať alebo uviesť v dokumentácii? |
|---|---|---|
| Núdzová situácia | Proti akej existujúcej alebo bezprostredne hroziacej situácii je potrebný zásah? Kto ho môže iniciovať? | Scenár, činnosti človeka, stav stroja a poloha dostupného zariadenia núdzového zastavenia. |
| Očakávaný ochranný účinok | Čo má aktivácia funkcie zmeniť? Ktoré nebezpečné pôsobenie sa má prerušiť alebo obmedziť? | Požadovaný stav a podmienky jeho dosiahnutia; podľa potreby ďalšie ochranné činnosti a prostriedky vyslobodenia. |
| Reakcia stroja | Čo sa zastavuje, v akom poradí, v akom čase a v akej oblasti? | Opis funkcie, kategória zastavenia 0/1, postupnosť, časové hranice a väzby na ostatné zariadenia. |
| Zostávajúca ochrana | Čo musí zostať v činnosti? Nevytvára reakcia nové nebezpečenstvo alebo horšiu situáciu v inej oblasti? | Požiadavky na zachované funkcie, odôvodnenie riešenia a výsledok overenia ich vzájomného pôsobenia. |
| Potvrdenie | Čím sa preukázalo, že realizácia spĺňa stanovené požiadavky? | Výsledky analýz, skúšok a meraní, podmienky skúšania, identifikácia konfigurácie a vyriešenie zistených odchýlok. |
Ide o návrh organizácie overenia, nie o formulár z ISO 13850 ani o úplný validačný plán. Rozsah analýz a skúšok sa musí prispôsobiť konkrétnej funkcii, stroju a použitej metóde posudzovania.
PL a SIL nedoplnia chýbajúci opis funkcie
ISO 13850 vyžaduje, aby časti riadiaceho systému súvisiace s bezpečnosťou, ktoré realizujú núdzové zastavenie, spĺňali príslušné požiadavky ISO 13849-1 a/alebo IEC 62061. Norma uvádza aj minimum: PLr c alebo SIL 1.
Minimum však automaticky nepostačuje pre každú aplikáciu. Požadovanú úroveň treba určiť pre danú funkciu so zohľadnením jej účelu a príslušných podrobných požiadaviek. Nestačí odpísať PL e z údajového listu relé. Posudzuje sa realizácia celej funkcie, nie iba jeden prvok.
Ani správny výpočet pre celý systém nenahrádza validáciu. ISO 13849-1:2023 oddeľuje overenie dosiahnutého PL od validácie zahŕňajúcej analýzu a skúšky. Vyžaduje tiež kontrolu úplnosti a vnútornej konzistentnosti špecifikácie funkcie vo vzťahu k zamýšľanému použitiu.
To je podstatné. Norma nežiada iba overiť, či programátor verne realizoval zle formulovanú úlohu. Treba skontrolovať aj to, či bola úloha stanovená správne.
Výsledok sa musí týkať skutočne vyhotoveného stroja
Overenie sa nekončí v okamihu zastavenia pohybu. Funkcia musí byť účinná vo všetkých prevádzkových režimoch, udržiavať zastavenie a zabrániť opätovnému spusteniu zastavených činností obyčajným štartovacím signálom. Uvoľnenie zariadenia núdzového zastavenia nesmie samo spustiť stroj. Aj tieto podmienky musia byť predmetom skúšok.
K jednotlivým požiadavkám treba priradiť dôkazy potvrdzujúce činnosť funkcie: konkrétnu položku protokolu, výsledok merania, analýzu a verziu schémy aj programu. Príloha nazvaná „skúška bezpečnosti“ nestačí, ak nie je jasné, čo sa skúšalo a podľa akého kritéria sa výsledok vyhlásil za správny.
Skúšky treba plánovať bez ohrozenia ľudí. Zachytenie sa nereprodukuje s človekom len preto, aby sa preverila koncepcia vyslobodenia. Použijú sa bezpečné metódy skúšania, analýzy a simulácie zodpovedajúce overovanému riešeniu.
Chýbajúce overenie nie je kladný výsledok. Ani vtedy, keď formulár obsahuje iba jedno políčko na zaškrtnutie.
Po potvrdení núdzovej reakcie navyše zostáva samostatná otázka preventívnej ochrany. Správne realizovaný E-STOP nesplní požiadavku, ktorú mal riešiť chýbajúci kryt alebo inak navrhnutý prístup.
Ak sa protokol nepýta, čo sa stalo s nebezpečenstvom, jeho kladný výsledok by nemal nikoho zvlášť upokojovať.
7. Funkcia núdzového zastavenia nie je sľub, že bude kam siahnuť
Preventívna bezpečnostná funkcia má zabrániť konkrétnej nebezpečnej udalosti. Núdzové zastavenie má umožniť správny zásah, keď núdzová situácia už existuje alebo bezprostredne hrozí. Obe funkcie vyžadujú návrh a overenie. Jedna nevykonáva úlohu druhej iba preto, že obe môžu zastaviť pohon.
Projekt s tlačidlom núdzového zastavenia nie je úplný, ak mu chýba ochrana pred predvídateľnou udalosťou. Nenahradí ju školenie operátora, vysoký PL ani úspešná skúška obmedzená na skončenie pohybu.
Aj samotný núdzový zásah vyžaduje viac než rozhodnutie, ktoré výstupy vypnúť. Treba určiť správny spôsob zastavenia, zachovať potrebnú ochranu a navrhnúť činnosti potrebné na zvládnutie situácie. To je projektantská práca. Človek pri stroji ju nemá dokončovať v okamihu nebezpečenstva.
Nejde o znižovanie významu E-STOP. Ide o to, aby sme mu nepripisovali ochranu, ktorú neposkytuje, a zároveň mu neodobrali činnosti potrebné na účinný zásah.
Núdzové zastavenie má pomôcť zvládnuť nebezpečnú situáciu. Nemá ospravedlňovať chýbajúcu ochranu pred jej vznikom. Ak po celom posúdení vieme povedať iba „stroj sa zastavil“, overili sme zastavenie. S bezpečnosťou človeka môže zostať ešte dosť práce.
Zdroje a poznámky
Základom analýzy je ISO 13850:2015. Nasledujúce poznámky uvádzajú konkrétne ustanovenia použité v článku. Odkazy na normy smerujú na stránky vydavateľa, nie na voľne sprístupnené úplné znenia.
[1] Účel funkcie a jej doplnková úloha. ISO 13850:2015, články 3.1, 3.5, 3.8 a 4.1.1.1 až 4.1.1.3: účel núdzového zastavenia, iniciovanie človekom, bezpečnostná funkcia, núdzová situácia a zákaz nahrádzať ostatnú ochranu. Rozlíšenie medzi prevenciou a núdzovým zásahom nevylučuje núdzové zastavenie z bezpečnostných funkcií.
[2] Svetelná clona a zastavenie pred nebezpečným kontaktom. ISO 12100:2010, články 6.3.2.5.1 až 6.3.2.5.2: podmienky používania snímacieho ochranného zariadenia, možnosť zastavenia, umiestnenie detekčného poľa a väzba na riadenie. Norma pri umiestnení odkazuje na ISO 13855. Uvedený príklad nie je výpočtom vzdialenosti ani hotovým návrhom svetelnej clony.
[3] Možnosť zásahu človeka a hranice návodu. ISO 12100:2010, články 5.5.2.3.3 a 6.1: faktory ovplyvňujúce možnosť vyhnúť sa škode alebo obmedziť jej následky a zákaz nahrádzať riadne ochranné opatrenia informáciami pre používateľa. ISO/TR 14121-2:2012, článok 8.4, uvádza núdzové zastavenie ako príklad opatrenia ovplyvňujúceho najmä možnosť vyhnúť sa škode alebo obmedziť jej následky. Nie je to dôvod na automatické zníženie hodnoty v rizikovom grafe. Dostupnosť zariadení rieši ISO 13850:2015, články 4.3.1 až 4.3.2.
[4] Ďalšie ochranné činnosti a vyslobodenie človeka. ISO 13850:2015, rozsah normy a články 4.1.1.2 a 4.1.1.5: zachovanie účinnosti iných ochranných funkcií a možnosť iniciovať činnosti odlišné od samotného zastavenia. Podrobné požiadavky na tieto činnosti nie sú predmetom ISO 13850. ISO 12100:2010 v článkoch 6.3.5.2 až 6.3.5.3 rozlišuje medzi núdzovým zastavením a prostriedkami na vyslobodenie a záchranu uväznených osôb.
[5] Zachovanie ostatnej ochrany a kategórie zastavenia. ISO 13850:2015, články 4.1.1.2, 4.1.1.4 až 4.1.1.5 a 4.1.3. Norma uvádza okrem iného vyslobodenie osôb, hasenie požiaru a možnú potrebu zachovať činnosť elektromagnetických uchopovačov alebo bŕzd. Kategória zastavenia 0/1 neznamená povinnosť izolovať celé zariadenie od všetkých zdrojov energie.
[6] Jeden úkon človeka, postupnosť a oblasti pôsobenia. ISO 13850:2015, články 4.1.1.1, 4.1.1.5 až 4.1.1.6 a 4.1.2 až 4.1.2.1: správna reakcia bez ďalšieho zásahu potrebného na zastavenie, možnosť vopred určenej postupnosti, návrh následkov použitia zariadenia a podmienky rozdelenia oblastí.
[7] PL, SIL, udržanie zastavenia a reset. ISO 13850:2015, článok 4.1.5.1: požiadavky ISO 13849-1 a/alebo IEC 62061, minimálny PLr c alebo SIL 1 a prípustné zdieľanie prvkov. Články 4.1.1.2 a 4.1.4 sa týkajú dostupnosti funkcie, udržania zastavenia a resetu, ktorý nesmie iniciovať opätovné spustenie. Pri konkrétnej aplikácii treba zohľadniť aj príslušnú normu typu C.
[8] Požiadavky funkcie a validácia. ISO 13849-1:2023, kapitola 8 a články 10.1.1, 10.2 a 10.4.1: overenie dosiahnutého PL, validácia pomocou analýzy a skúšok, kontrola úplnosti a konzistentnosti špecifikácie a predchádzajúce stanovenie plánu skúšok a očakávaných výsledkov. Tabuľka v článku je autorským návrhom na organizáciu informácií, nie úplným validačným plánom pre každý systém.
[9] Kontext požiadaviek práva EÚ. Smernica 2006/42/ES – anglické znenie v EUR-Lex, príloha I, body 1.2.4.3 až 1.2.4.4, a nariadenie (EÚ) 2023/1230 – anglické znenie v EUR-Lex, príloha III, body 1.2.4.3 až 1.2.4.4: doplnková úloha núdzového zastavenia, zákaz vzniku ďalšieho rizika, ochranné pohyby a zastavenie súvisiaceho zariadenia, ktorého ďalšia činnosť môže byť nebezpečná. Nariadenie sa začne všeobecne uplatňovať 20. januára 2027; prechodné ustanovenia a termíny upravujú články 52 a 54. Samotné uvedenie normy nepredstavuje tvrdenie o jej harmonizácii s konkrétnym právnym aktom.
Charakter príkladov a hranice použitia. Opísané pracoviská, napájacie sústavy, zápisy v dokumentácii a výroky sú modelové príklady. Neopisujú konkrétny vyšetrený úraz a nie sú návodom na záchranu pri konkrétnom stroji. Oddialenie prvkov, uvoľnenie prítlaku aj spätný pohyb vyžadujú správny návrh a posúdenie následkov. Článok vysvetľuje úlohu a logiku funkcie, nie všetky požiadavky ISO 13850; jej rozsah a výnimky stanovuje kapitola 1 normy.