Minulý týždeň som viedol školenie pre firmu integrujúcu paletizačné pracoviská s robotom. Pri rozoberaní bezpečnostných funkcií som povedal, že prepojenie troch zariadení, z ktorých každé má PL e, nemusí viesť k PL e pre celú funkciu.
To vyvolalo prekvapenie. Účastníci boli presvedčení, že doteraz správne určovali úroveň vlastností (Performance Level). Vyberali zariadenia s PL e a rovnakú úroveň očakávali aj od funkcie, ktorú z nich vytvorili. Keď žiadny prvok nemal horšie písmeno, odkiaľ by sa mal vziať horší výsledok?
Práve medzi parametrami jednotlivých zariadení a výsledkom ich prepojenia chýbala časť inžinierskej práce.
Oceňujem, že používali takéto zariadenia a prišli si overiť svoje vedomosti. Existujú dodávatelia, ktorí nekontrolujú ani parametre vyberaných zariadení. Zanedbania iných však neznižujú požiadavky na náš projekt. Môžeme byť dôslednejší ako konkurencia a napriek tomu bezpečnostnú funkciu posúdiť nesprávne.
Pri sériovom prepojení subsystémov so známymi hodnotami PFH — priemernej frekvencie nebezpečnej poruchy za hodinu — ISO 13849-1 vyžaduje zohľadniť ich súčet. Jednotlivé subsystémy môžu patriť do rozsahu PL e, ale ich súčet už nemusí. Žiadny výrobca zariadenia pritom nemusí uvádzať nepravdivé údaje. Nesprávny môže byť až záver integrátora.
Nejde o akademickú hru s mocninami desiatich. Výsledok sa týka funkcie, na ktorú sa má spoliehať človek pri stroji. Ak sa vyžaduje PL e a dosiahnutá úroveň nebola preukázaná, tri katalógové listy s písmenom e vec neuzatvárajú.
Kúpili sa kvalitné zariadenia. Spolu s nimi sa však nekúpilo hotové odôvodnenie bezpečnosti vlastného stroja.
Osobitný význam to nadobúda vtedy, keď sa vo vyhlásení o zhode objaví odkaz na ISO 13849-1. Odberateľ predsa nedostáva zoznam noriem, o ktorých dodávateľ počul. Dostáva informáciu o normách použitých pri posudzovaní a konštrukcii dodaného stroja.
Ak výrobca uvádza takýto odkaz ako potvrdenie splnenia požiadaviek normy, hoci posúdenie funkcie nahradil odčítaním PL z katalógov, zavádza používateľa. Dobrá viera môže vysvetliť, prečo k chybe došlo. Chýbajúce potvrdenie však nenahrádza.
Nejde o to, aby sme po tomto príbehu všetkým kupovali ešte drahšie relé. Najprv treba určiť, čo od funkcie požadujeme, ktoré prvky ju realizujú a čo skutočne vyplýva z ich prepojenia. Potom treba overiť, za akých podmienok zostáva tento výsledok opodstatnený — aj po niekoľkých rokoch a stovkách tisíc prepnutí.
Práve tento rozhovor ma podnietil napísať článok. Výpočet PL podľa ISO 13849-1 treba konečne vysvetliť tak, aby znalosť skratiek sprevádzalo aj porozumenie vlastnému systému. Kategória nie je iný spôsob zápisu PL. Výsledok pre relé nie je výsledkom pre celú funkciu. A správny výsledok výpočtov nezbavuje povinnosti zachovávať podmienky, za ktorých bol dosiahnutý.
Používateľ potrebuje funkciu s preukázanou úrovňou bezpečnosti. Nie tri zariadenia, z ktorých je každé samostatne presvedčivé.
1. Tri zariadenia s PL e. Pozrime sa, aký výsledok dá sčítanie
Vezmime si bezpečnostnú funkciu realizovanú tromi subsystémami: detekciou, logikou a výstupom vykonávajúcim stanovenú reakciu. Každý subsystém bol samostatne posúdený na PL e. Každý je nevyhnutný na to, aby celá funkcia správne splnila svoju úlohu.
Práve to tu znamená sériové prepojenie. Nejde o tri kontakty prepojené jedným vodičom ani o tri zariadenia, ktoré sa navzájom zastupujú.
Predpokladajme, že subsystémy boli použité správne a ostatné požiadavky boli splnené. Nebudeme hľadať nesprávne pripojený vodič ani vypnutú diagnostiku. Overíme, či aj za týchto priaznivých podmienok tri písmená e postačujú na získanie štvrtého - toho najdôležitejšieho.
Písmená sú rovnaké. Čísla už nie
PL e neznamená jednu a tú istú hodnotu PFH pre každé zariadenie. V rámci rovnakej úrovne sa môžu vyskytovať rôzne hodnoty priemernej frekvencie nebezpečnej poruchy za hodinu.
Pre príklad výpočtu použime nasledujúce údaje:
| Subsystém | Posúdené PL | PFH [h−1] |
|---|---|---|
| Detekcia | e | 3 × 10−8 |
| Logika | e | 4 × 10−8 |
| Výstup | e | 5 × 10−8 |
Všetky hodnoty sú menšie ako 10−7 h−1, teda spĺňajú číselnú podmienku pre PL e.
Ak by sa overovanie skončilo posledným riadkom, mohli by sme vyhlásiť úspech. Každý dodávateľ dodal vhodný subsystém. Nákupy sedia.
Používateľ sa však bude spoliehať na ich spoločné fungovanie, nie na tri samostatné katalógové listy.
Keď poznáme PFH všetkých subsystémov tvoriacich takéto prepojenie, hodnoty treba sčítať.
PFH = PFH1 + PFH2 + PFH3
PFH = (3 + 4 + 5) × 10−8 = 1,2 × 10−7 h−1.
Pre PL e musí byť súčet menší ako 10−7 h−1. Náš výsledok je vyšší. Patrí do rozsahu PL d:
10−7 ≤ PFH < 10−6 h−1.
Každý subsystém má PL e. Prepojenie v tomto príklade dosahuje PL d. Nie preto, že niektorý výrobca nadhodnotil parametre. Dôvodom je, že pri posudzovaní prepojenia treba zohľadniť príspevok všetkých troch subsystémov.
Nerozhoduje o tom ani tvrdenie: „celok má úroveň najslabšieho prvku“. Norma obmedzuje výsledok najnižším PL subsystému aj úrovňou vyplývajúcou zo súčtu PFH. Najnižšie PL subsystému je obmedzením výsledku, nie prísľubom jeho dosiahnutia.
Tri zariadenia nemusia vždy znamenať pokles na PL d
Nenahrádzajme jednu chybu druhou. Samotný počet zariadení výsledok neurčuje.
Pre tri ďalšie podsystémy, takisto posúdené na PL e, predpokladajme hodnoty 2 × 10−8, 3 × 10−8 a 4 × 10−8 h−1:
PFH = (2 + 3 + 4) × 10−8 = 9 × 10−8 h−1.
Tento súčet zostáva pod hodnotou 10−7 h−1. Pri zachovaní ostatných predpokladaných podmienok môže kombinácia dosiahnuť PL e.
Rozdiel je veľmi jednoduchý, keď všetky čísla zapíšeme v rovnakej mierke. Hranica je 10 × 10−8. V prvom príklade sme dosiahli 12, v druhom 9. Pri výsledku rovnajúcom sa presne 10 × 10−8 sme už v rozsahu d. V tabuľke je uvedené „menšie ako“, nie „menšie alebo rovné“.
V oboch variantoch obsahuje nákupný zoznam trikrát PL e. Až čísla ukazujú, že nebol zakúpený rovnaký výsledok.
PFH neurčuje dátum nasledujúcej poruchy
Pri takých malých číslach je ľahké nadobudnúť prehnaný pocit bezpečia. Ak PFH dosahuje 10−8 h−1, niekto to môže chápať ako uistenie, že zariadenie bude fungovať bez nebezpečnej poruchy sto miliónov hodín.
Takýto výklad nie je správny.
PFH opisuje priemernú frekvenciu nebezpečnej poruchy pri realizácii určenej bezpečnostnej funkcie. Neuvádza čas prvej poruchy. Nie je ani pravdepodobnosťou úrazu pri jednom otvorení ochranného krytu.
Sto miliónov hodín nie je záručná lehota. Nebezpečná porucha môže nastať oveľa skôr.
Preto malé PFH neinterpretujeme ako uistenie, že „najbližších niekoľko stoviek rokov sa nič nestane“. Norma poskytuje parameter na posúdenie schopnosti systému vykonávať funkciu. Neposkytuje základ na vytvorenie kalendára bezúrazovej prevádzky stroja.
Požadované e, vypočítané d. Čo zmeníme?
Predpokladajme, že pre posudzovanú funkciu bola stanovená požadovaná úroveň PLr e. Výsledok d z prvého príkladu je potom nedostatočný. Ak dosiahnutá PL nespĺňa požiadavku, treba sa vrátiť k procesu navrhovania.
Najskôr skontrolujeme, či model zahŕňa správne podsystémy a či použité údaje zodpovedajú použitej konfigurácii a prevádzkovým podmienkam. Ak áno, treba zmeniť riešenie.
Výpočet dokonca ukazuje, čo hľadáme. Pri zachovaní prvých dvoch hodnôt — 3 × 10−8 a 4 × 10−8 h−1 — musí mať tretí podsystém PFH menšie ako 3 × 10−8 h−1, aby sa samotný súčet zmestil do rozsahu e. Objednanie ďalšieho zariadenia označeného ako PL e nestačí. Môže mať presne takú hodnotu PFH, s ktorou hranicu opäť prekročíme.
„Vymenili sme ho za iné PL e“ opisuje nákup. Až opätovný výpočet ukáže, či sa problém vyriešil.
Z modelu neodstraňujeme podsystém, ktorý je naďalej potrebný na vykonanie funkcie. Neznižujeme ani požadovanú PLr preto, že ju zvolené zariadenia nedosahujú. Ak je potrebné e a dôkladné posúdenie poskytne d, treba upraviť návrh — nie spôsob zápisu výsledku.
V tomto príklade stačilo na spochybnenie tvrdenia o PL e sčítanie. Oplatí sa ho vykonať pred podpísaním dokumentácie.
2. Kategória 4 čoho? Relé alebo navrhnutého systému?
„Máme kategóriu 4. Relé je bezpečnostné.“
Môže to byť pravdivá informácia o zvolenom prístroji. Stále však nevysvetľuje, čo je pripojené k jeho vstupom, čo ovládajú výstupy a čo nastane, keď niektorý z týchto prvkov zlyhá.
Relé môže správne vypnúť svoje výstupy. Ak jediný stýkač odpájajúci pohon nerozopne hlavné kontakty, samotný príkaz z relé neodpojí napájanie motora.
Nie je to výhrada voči relé. Použitie jeho parametrov na posúdenie celej funkcie bolo rozhodnutím projektanta. Výrobca prístroja za neho nenavrhoval zostávajúcu časť obvodu.
Najskôr úloha. Potom zariadenia, ktoré ju vykonávajú
Uveďme jednoduchý príklad ochrany prístupu k pohonu dopravníka. Otvorenie ochranného krytu má spôsobiť zastavenie nebezpečného pohybu a jeho ponechanie v otvorenom stave má zabrániť spusteniu tohto pohybu. Čas dosiahnutia bezpečného stavu musí zodpovedať podmienkam prístupu: človek nesmie dosiahnuť na pohyb, pred ktorým ho mala táto funkcia chrániť.
Až pre takto stanovenú úlohu rozpracujeme realizáciu: snímač zisťuje stav ochranného krytu, bezpečnostné relé spracúva signály a výstupné prvky pôsobia na pohon. Špecifikácia má okrem iného určovať iniciačnú udalosť, reakciu, požadovanú PLr, čas dosiahnutia bezpečného stavu a režimy, v ktorých funkcia pôsobí. Katalógové číslo relé tieto určenia pre náš stroj neobsahuje.
„Ochranný kryt pripojený k bezpečnostnému systému“ opisuje zapojenie. Ešte však nehovorí, pred čím a akým spôsobom chránime človeka.
Pri posudzovaní systému sa nezastavujeme ani na výstupných svorkách relé. Definícia SRP/CS zahŕňa reťazec od iniciovania signálov súvisiacich s bezpečnosťou až po výstupy výkonových riadiacich prvkov — napríklad hlavné kontakty stýkača.
Ak má teda odpojenie vykonať stýkač, nestáva sa „bežnou elektroinštaláciou mimo bezpečnostného systému“ len preto, že sa nachádza na ďalšej strane schémy.
Dva stýkače nie sú dva podsystémy PL e
Teraz zvážme variant s dvoma stykačmi: K₁ a K₂. Ich hlavné kontakty sú zapojené sériovo v napájacom obvode motora, ale každý stykač môže tento obvod samostatne prerušiť. Ak K₁ nerozpojí kontakty, K₂ môže stále vykonať odpojenie.
Sériové zapojenie vo výkonovom obvode tu neznamená sériové zapojenie v modeli spoľahlivosti.
V takomto riešení môžu K₁ a K₂ tvoriť dva redundantné kanály jedného výstupného subsystému. Ich úlohou je zachovať možnosť odpojenia napriek určitej poruche jedného kanála. Ide o inú situáciu ako pri troch subsystémoch z predchádzajúcej časti, z ktorých každý bol nevyhnutný na vykonanie funkcie.
Preto nestačí vziať dve hodnoty týkajúce sa jednotlivých stykačov a použiť na ne sčítanie určené pre sériové spojenie posúdených subsystémov. Najprv treba posúdiť výstupný subsystém: jeho štruktúru, spoľahlivosť prvkov, diagnostiku a správanie pri poruchách. Až jeho výsledok použijeme pri posudzovaní spojenia s detekciou a logikou. Takéto oddelenie posúdenia subsystému a spojenia subsystémov stanovuje norma.
Zostáva tiež otázka ďalšej prevádzky po poruche K₁. Zistí systém, že stykač nevykonal príkaz? Čo urobí s touto informáciou? Umožní spustiť ďalší cyklus?
Pridanie druhého stykača poskytuje druhý spôsob odpojenia. Automaticky neposkytuje diagnostiku ani odôvodnenie kategórie.
Kategória vyjadruje odolnosť voči poruchám. PL zohľadňuje viac
Kategória klasifikuje subsystém z hľadiska odolnosti voči poruchám a správania po ich vzniku. Dôležitá je štruktúra, detekcia porúch a spoľahlivosť. Nie je to iba počet kanálov ani druhé označenie PL.
Pri kategórii 3 nesmie jednotlivá porucha viesť k strate vykonávanej čiastkovej funkcie. Mala by sa zistiť najneskôr pri nasledujúcom vyžiadaní funkcie, ak je to primerane uskutočniteľné. Neznamená to však detekciu všetkých porúch; nahromadenie nezistených porúch môže viesť k strate čiastkovej funkcie.
Kategória 4 kladie prísnejšie požiadavky: ak jednotlivú poruchu nemožno zistiť v požadovanom okamihu, nahromadenie nezistených porúch nesmie viesť k strate funkcie. Vyžaduje sa tiež vysoké DCavg a vysoké MTTFD každého redundantného kanála.
Dva stykače možno vidieť po otvorení rozvádzača. Splnenie týchto požiadaviek nemožno zistiť samotným pohľadom na dva stykače.
Pri určovaní PL treba zohľadniť všetky príslušné aspekty posúdenia: parametre spoľahlivosti, účinnosť diagnostiky, opatrenia proti poruchám so spoločnou príčinou, softvér a predchádzanie systematickým poruchám. Tento rozsah nenahrádza uvedená kategória.
Rovnaká kategória 3, ale výsledok c, d alebo e
Namiesto toho, aby sme zostali pri tvrdení „PL závisí od mnohých faktorov“, pozrime sa na konkrétne hodnoty.
Pre architektúru kategórie 3 pri DCavg = 90% a splnení ostatných predpokladov metódy získame v závislosti od MTTFD každého kanála nasledujúce výsledky:
| MTTFD každého kanála | PFH subsystému [h−1] | PL |
|---|---|---|
| 10 rokov | 1,36 × 10−6 | c |
| 30 rokov | 2,65 × 10−7 | d |
| 100 rokov | 4,29 × 10−8 | e |
Ide o hodnoty odčítané z modelu podľa normy, nie o výsledky posúdenia konkrétnych stykačov. Kategória zostala rovnaká. Rovnako aj diagnostické pokrytie. Zmenila sa spoľahlivosť kanálov a získali sme tri rôzne úrovne PL.
MTTFD je tu parametrom spoľahlivosti, nie termínom výmeny zariadenia. K tomuto rozdielu sa vrátime pri počte cyklov a dobe používania.
Tabuľka zároveň ukazuje, prečo je skratka „kategória 3 znamená PL d“ chybná v oboch smeroch. Kategória 3 nezaručuje d, ale ani nevylučuje e. Podmienky dosiahnutia výsledku treba preukázať.
Nakoniec sa vráťme k relé. Ak používame predtým posúdený subsystém, nemusíme rekonštruovať jeho konštrukciu a počítať každý vnútorný prvok od začiatku. Musíme však poznať rozsah posúdenia, správne ho uplatniť a posúdiť jeho spojenie so zvyškom systému. Norma umožňuje kombinovať predtým validované subsystémy so subsystémami navrhovanými integrátorom.
Nie je potrebné opakovať prácu výrobcu relé. Treba vykonať tú časť práce, ktorú za nás výrobca relé nevykonal.
Bola položená otázka, čo sa stane po poruche prvku stroja. V odpovedi bola uvedená kategória relé. To stále nie je odpoveď na položenú otázku.
3. Požadovaný PLr nevyplýva z toho, čo už bolo zakúpené
„Vyšlo nám PL d. Malo by to stačiť.“
Možno. Nerozhoduje o tom však ani výsledok výpočtu, ani presvedčenie, že boli použité kvalitné zariadenia.
PLr určuje požiadavku na konkrétnu bezpečnostnú funkciu. PL opisuje úroveň dosiahnutú systémom, ktorý túto funkciu vykonáva. Najprv treba určiť, aké zníženie rizika potrebujeme. Až potom treba navrhnúť riešenie a preukázať, že spĺňa požiadavku.
Ak je relé už objednané, schéma hotová a požadovanú úroveň vyberáme až potom, ľahko sa toto poradie obráti. Parametre posúdenia vtedy začnú podozrivo dobre zodpovedať možnostiam zakúpenej aparatúry.
Požiadavka prispôsobená hotovému výsledku umožňuje vyhnúť sa úpravám návrhu. Neumožňuje preukázať, že návrh je správny.
S2 nie je vyhradené pre smrteľné úrazy
V grafe používanom na určenie PLr posudzujeme závažnosť možného zranenia, frekvenciu alebo čas vystavenia a možnosť vyhnúť sa škode alebo ju obmedziť. Zodpovedajú im parametre S, F a P.
S2 zahŕňa vážne, zvyčajne nezvratné zranenie alebo smrť. Amputácia prsta sa teda nestáva S1 len preto, že človek prežije. Nie je potrebné uvažovať o katastrofe zasahujúcej polovicu haly, aby bola požiadavka na funkciu vysoká.
Pre S2 poskytuje základný graf tieto výsledky:
| Závažnosť zranenia | Vystavenie | Možnosť vyhnúť sa ujme alebo ju obmedziť | Základný výsledok grafu |
|---|---|---|---|
| S2 | F1 — zriedkavejšie a/alebo krátkodobé | P1 — možné za určitých podmienok | PLr c |
| S2 | F1 — zriedkavejšie a/alebo krátkodobé | P2 — málo pravdepodobné | PLr d |
| S2 | F2 — časté alebo dlhodobé | P1 — možné za určitých podmienok | PLr d |
| S2 | F2 — časté alebo dlhodobé | P2 — málo pravdepodobné | PLr e |
Pri S2 vedú v tomto grafe aj priaznivé F1 a P1 k PLr c. Jedno menej priaznivé hodnotenie — F2 alebo P2 — stačí na d. Obe súčasne vedú k e.
Nejde o úrovne vyberané podľa toho, ako impozantne stroj vyzerá. Aj malý mechanizmus môže spôsobiť nezvratné zranenie.
„Operátor je skúsený.“ Len nemá kam ustúpiť
Predpokladajme, že zamýšľaná obslužná činnosť vyžaduje zaujať miesto medzi posuvným prvkom a pevnou konštrukciou. Posudzované neočakávané premiestnenie môže spôsobiť ťažké zranenie rozdrvením. Bezpečnostná funkcia má počas prístupu tomuto pohybu zabrániť.
Pri posudzovaní možnosti vyhnúť sa ujme sa objavuje argument: operátor pozná stroj, bol vyškolený a túto činnosť vykonáva už roky. Navrhované hodnotenie — P1.
Lenže v polohe potrebnej na vykonanie úlohy neexistuje priestorová možnosť úniku z dráhy pohybu.
Skúsenosti pracovníka sú dôležité. Geometriu pracoviska však nemenia.
Uviedli vyškoleného operátora. Chýbajúci priestor na únik si mal zrejme zabezpečiť sám.
Jedna z metód určovania P zohľadňuje päť faktorov: pripravenosť osoby, rýchlosť vývoja udalosti a dostupný čas, priestorovú možnosť úniku, rozpoznateľnosť nebezpečenstva a zložitosť činnosti. Hodnoteniam sa priraďujú písmená A, B alebo C podľa podmienok príslušného faktora.
V tejto metóde stačí jedno C na stanovenie P2. Aj keď sú všetky ostatné hodnotenia A.
Chýbajúca priestorová možnosť úniku je práve takým C. Rovnako ním môže byť nedostatok času na účinný únik. Tieto obmedzenia nespriemerujeme s dobrými hodnoteniami ostatných faktorov. Štyri priaznivé odpovede nevytvoria priechod cez oceľovú konštrukciu.
Pri posudzovanom S2 to znamená PLr d pre F1 alebo PLr e pre F2.
P1 navyše nevolíme automaticky ani vtedy, keď sa nevyskytuje žiadne C. Treba posúdiť ostatné faktory a skutočnú možnosť vyhnúť sa ujme alebo ju významne obmedziť. Tabuľka hodnotenie usporadúva. Nezbavuje nás povinnosti porozumieť situácii, ktorú opisujeme.
Medze stroja ovplyvňujú požiadavku na riadiaci systém
Možnosť úniku overujeme za podmienok zamýšľaného používania. Nielen pri prázdnom pracovisku, bez materiálu a s pohodlným prístupom zo všetkých strán.
Ak má človek pri najmenšom výrobku voľný priestor, ale najväčší povolený výrobok ho zaberá, treba zohľadniť práve tento variant. To isté platí pre umiestnenie paliet, prípravky a úlohy, ktoré si vyžadujú zaujatie konkrétnej polohy.
Určenie, rozmery výrobku a miesto vykonávania činnosti nie sú opisným úvodom k „vlastným výpočtom“. Môžu rozhodovať o tom, akú požiadavku majú tieto výpočty splniť.
Rovnakým spôsobom posudzujeme F. Krátka činnosť opakovaná každých niekoľko minút sa nestáva občasnou len preto, že jednotlivý prístup trvá iba chvíľu. Treba zohľadniť frekvenciu aj celkový čas vystavenia.
Pri opísanom prístupe vedie bez iného odôvodnenia frekvencia vyššia ako raz za 15 minút k F2. Usmernenie umožňujúce stanoviť F1 spája dve podmienky: frekvenciu najviac raz za 15 minút a celkový čas vystavenia nepresahujúci jednu dvadsatinu pracovného času.
Nie je tiež podstatné, či jednotlivé prístupy vykonáva ten istý pracovník alebo viacero osôb.
Zmena operátora nevynuluje frekvenciu vystavenia pri stroji.
Neznižujte požiadavku účinnosťou funkcie, ktorú ešte len posudzujete
„Riziko je malé, pretože po otvorení ochranného krytu sa pohon zastaví.“
Ak práve určujeme požadovanú PLr funkcie, ktorá po otvorení ochranného krytu zastavuje pohon, takéto odôvodnenie je nesprávne. Odpoveď už predpokladá účinné fungovanie toho, pre čo ešte len určujeme požiadavku.
Pri určovaní PLr posudzujeme situáciu bez zohľadnenia zníženia rizika zabezpečeného samotnou posudzovanou funkciou. Neznamená to, že sa majú ignorovať všetky ostatné ochranné opatrenia. Možno zohľadniť vhodné technické opatrenia nezávislé od riadiaceho systému a doplnkové bezpečnostné funkcie. Ich pôsobenie však treba oddeliť od pôsobenia funkcie, ktorej požadovanú úroveň určujeme.
Funkcii nemožno najskôr započítať jej účinnosť a potom z tejto započítanej účinnosti odvodiť miernejšiu požiadavku na tú istú funkciu.
Nižší výsledok môže byť odôvodnený. Nákup relé nie je odôvodnením
Graf nie je jedinou prípustnou metódou určovania PLr. Má informatívny charakter. Príslušná norma typu C pre konkrétny druh stroja môže požadovanú úroveň stanoviť inak ako všeobecný graf.
Aj pri opísanom prístupe možno výsledok znížiť o jednu úroveň, ak bola pravdepodobnosť výskytu nebezpečnej udalosti posúdená ako nízka. Toto rozhodnutie si vyžaduje odôvodnenie a zdokumentovanie. Nestačí dopísať „málo pravdepodobné“ po zistení, že dosiahnutá PL je príliš nízka.
Treba vedieť uviesť, aká udalosť bola posúdená, čo obmedzuje možnosť jej výskytu a na akom základe bola pravdepodobnosť určená ako nízka. Samotné „už roky nedošlo k nehode“ ešte na tieto otázky neodpovedá.
Nakoniec porovnávame dve nezávisle stanovené informácie: požadovanú PLr a dosiahnutú PL. Ak skutočná zmena konštrukcie alebo spôsobu používania zníži riziko, požiadavku možno posúdiť znova. Ak sa zmenila iba odpoveď vo formulári, stroj sa tým nestal menej nebezpečným.
Graf neslúži na odôvodnenie relé, ktoré už bolo objednané. Má pomôcť určiť, čo potrebuje človek, ktorý bude pri tomto stroji pracovať.
4. Kedy možno počítať zjednodušenou metódou a kedy treba vypočítať viac?
„Vyšlo d? Tak preverme zjednodušenú metódu“.
Prístroje zostávajú rovnaké. Aj zapojenia. Nikto nezlepšuje diagnostiku ani nevymieňa subsystém. Mení sa len spôsob získania výsledku, až kým sa v príslušnom poli neobjaví e.
Veľmi efektívna modernizácia. Netreba ani otvárať rozvádzač.
Problém nie je v používaní zjednodušení. Norma ich predpokladá a za vhodných podmienok umožňujú správne posúdiť systém bez vytvárania vlastného matematického modelu od základov. Problém nastáva vtedy, keď metódu vyberieme až po overení, ktorá poskytne výhodnejší výsledok.
O výbere metódy rozhodujú posudzovaný systém a dostupné údaje. Termín prevzatia nie je ďalším výpočtovým parametrom.
Najprv určte, čo vlastne posudzujete
Pod označením „zjednodušené výpočty“ možno ľahko zameniť dve odlišné činnosti.
Prvou je posúdenie subsystému zostaveného z komponentov. Treba napríklad určiť parametre vlastného výstupného subsystému zloženého zo stýkačov a z diagnostiky, ktorá sa pre ne vykonáva. Poznáme údaje komponentov, ale výsledok ich spoločného fungovania treba ešte len určiť.
Druhou je posúdenie spojenia subsystémov, ktoré už majú určené bezpečnostné parametre. Vtedy vychádzame z predtým vykonaného posúdenia, overujeme podmienky použitia a určujeme výsledok spojenia.
Nie je potrebné rozoberať posúdené relé na vnútorné prvky len preto, že ho používame vo vlastnom stroji. Samostatne zostavenú časť obvodu však nemožno považovať za hotový subsystém s PL e len preto, že sú v nej dva stýkače a niekto okolo nej nakreslil rámček.
Rámček v schéme pomáha usporiadať model. Bezpečnostné parametre mu však neudeľuje.
Praktické rozdelenie vyzerá takto:
| Čo posudzujeme a aké údaje máme? | Správny postup |
|---|---|
| Sériové spojenie predtým posúdených subsystémov; poznáme všetky hodnoty PFH. | Sčítame PFH a zohľadníme aj obmedzenie najnižšou PL subsystému. |
| Takéto spojenie subsystémov; poznáme ich PL, ale nie všetky hodnoty PFH. | Môžeme použiť tabuľkovú metódu určenú pre túto situáciu. |
| Vlastný subsystém zodpovedajúci architektúre predpokladanej v zjednodušenej metóde. | Určíme kategóriu, MTTFD kanálov a DCavg, zabezpečíme požadované opatrenia proti CCF a splnenie ostatných predpokladov. |
| Vlastný subsystém, ktorého architektúra nezodpovedá architektúram tejto metódy. | Potrebujeme odôvodnený model a podrobný výpočet, ktoré umožnia preukázať dosiahnutie požadovanej úrovne. |
V rámci jednej funkcie možno kombinovať oba pracovné postupy: využiť údaje už posúdených subsystémov a samostatne posúdiť tú časť, ktorú navrhol integrátor. Netreba si vyberať medzi „všetko prepisujeme z katalógov“ a „všetko počítame od jediného tranzistora“.
Podľa tabuľky vychádza e. Z dostupných údajov — d
Vráťme sa k trom subsystémom z prvej časti:
PFH=(3+4+5)×10−8=1,2×10−7 h−1.
Každý subsystém bol posúdený na PL e. Súčet PFH sa však nachádza v rozsahu d.
V norme je uvedená aj metóda pre spojenie subsystémov, keď nepoznáme všetky hodnoty PFH. Určuje sa v nej najnižšia PL a počet subsystémov s touto úrovňou. Pri najnižšej úrovni e a najviac troch takýchto subsystémoch tabuľka uvádza e.
Máme teda konkrétny rozpor: zo samotných písmen možno získať e, hoci súčet známych hodnôt z nášho príkladu dáva d.
Nemalo by sa to zakrývať tvrdením, že každá zjednodušená metóda poskytuje vždy konzervatívnejší výsledok. V tomto porovnaní to tak nie je. Treba však prečítať podmienku, pre ktorú je daná metóda určená.
Ak poznáme PFH všetkých subsystémov, sčítame ich. Tabuľka pre neznáme hodnoty PFH nie je druhým pokusom na skúške po nevydarenom sčítaní.
Údaje výrobcu sa nestanú neznámymi len preto, že prestali vyhovovať očakávanému výsledku.
Použitie tabuľky v jej správnom rozsahu nie je chybou. Chybou by bolo vedomé odmietnutie dostupných hodnôt len preto, aby sa nepohodlné d nahradilo výhodnejším e. Systém tým nezískal nižšiu četnosť nebezpečných porúch. Autor dokumentácie ju jednoducho prestal zohľadňovať s presnosťou, ktorú umožňovali údaje.
Zjednodušená metóda šetrí výpočty. Nie však overovanie predpokladov
Pri posudzovaní vlastného subsystému funguje zjednodušenie inak. Využívame výsledky modelov pripravených pre konkrétne architektúry namiesto toho, aby sme od začiatku vytvárali všetky matematické vzťahy.
Graf spájajúci kategóriu, MTTFD a DCavg nie je názorným obrázkom, z ktorého si možno vybrať stĺpec najviac zodpovedajúci vlastným očakávaniam. Predstavuje výsledky matematických modelov pre konkrétne štruktúry a podmienky.
Najprv teda treba určiť, či im náš podsystém skutočne zodpovedá. Ako sa bude správať pri poruche? Ktoré poruchy sa zistia? Aké sú parametre kanálov? Sú zabezpečené požadované opatrenia proti poruchám so spoločnou príčinou?
Najjednoduchšie je vybrať kategóriu a diagnostiku tak, aby stĺpec dosiahol e. Žiaľ, potom by ešte bolo potrebné vytvoriť systém zodpovedajúci týmto označeniam.
Metóda je založená aj na predpokladoch týkajúcich sa doby používania a frekvencie porúch počas tohto obdobia. Nezabezpečuje automaticky dvadsaťročnú životnosť každého prvku, ktorý zahrnieme do výpočtu. Opotrebúvajúce sa komponenty môžu vyžadovať skoršiu výmenu. K tomu sa vrátime pri počte cyklov.
Podobne ani presnejšie číselné odčítanie namiesto odčítania z grafu nemení druh použitého modelu. Môžeme získať presnejšiu hodnotu PFH, ale stále musíme spĺňať podmienky metódy, pomocou ktorej sme ju získali.
Výsledok zapísaný s väčším počtom číslic neopisuje presnejšie stroj, ktorého model vynecháva podstatnú závislosť. Presnejšie opisuje toto vynechanie.
Kedy je potrebný podrobný výpočet?
Hranica nevedie medzi malou a veľkou rozvodnou skriňou. Väčší počet zariadení automaticky neznamená, že treba vytvoriť vlastný model. Menší počet prvkov nezaručuje, že možno použiť najjednoduchší variant.
Rozhodujúca je možnosť správne znázorniť podsystém v architektúre, pre ktorú bola pripravená zjednodušená metóda.
Elektrická schéma nemusí vyzerať rovnako ako bloková schéma v norme. Ide o odlišné spôsoby znázornenia systému. Treba však preukázať rovnocennosť podstatných závislostí: spôsobu realizácie čiastkových funkcií, redundancie, diagnostiky a správania pri poruchách.
Ak takáto rovnocennosť neexistuje, je potrebný podrobný výpočet založený na vhodnom modeli, napríklad na Markovovom modelovaní alebo analýze stromu porúch. Model musí zohľadňovať vlastnosti riešenia, ktoré nie sú zahrnuté v prijatom zjednodušení.
Schému možno prekresliť tak, aby vyzerala povedome. Spoločné miesto poruchy však nemožno odstrániť oddelením dvoch čiar na obrazovke.
Ani podrobný výpočet neoprávňuje na ignorovanie kvalitatívnych požiadaviek. Ak deklarujeme určitú kategóriu, treba splniť jej požiadavky. Ak má funkcia reagovať určitým spôsobom, treba túto reakciu zabezpečiť. Pokročilejšia matematika nenahrádza chýbajúcu diagnostiku ani neospravedlňuje chybnú logiku.
Nejde teda o to, aby každý projektant dostal za úlohu Markovovo modelovanie. Ide o to, aby rozpoznal okamih, keď hotový model prestáva zodpovedať jeho systému. Vtedy treba buď zmeniť riešenie tak, aby ho bolo možné správne posúdiť zjednodušenou metódou, alebo vykonať príslušnú podrobnú analýzu.
„Nemáme MTTFD“ ešte nie je výber metódy
Norma stanovuje aj obmedzený alternatívny postup pre podsystémy obsahujúce určité mechanické a fluidné technológie vrátane elektrohydraulických a elektropneumatických technológií, ak nie sú dostupné údaje o spoľahlivosti a nemožno použiť uvedenú metódu správnej technickej praxe.
Je to konkrétny postup s vlastnými podmienkami týkajúcimi sa okrem iného architektúry, diagnostiky, komponentov a doby používania. Nie je to všeobecný súhlas s posudzovaním ľubovoľného systému bez MTTFD.
„Nenašli sme údaje“ opisuje stav nášho vyhľadávania. Nedokazuje, že sme splnili podmienky výnimky.
Pred schválením výsledku preto treba vedieť odpovedať, čo bolo posúdené, aké údaje sa použili, prečo je zvolená metóda použiteľná a kde bolo preukázané splnenie jej predpokladov.
To je oveľa dôležitejšie než dĺžka správy. Niekoľko prehľadných výpočtov pre správne definovaný systém má väčšiu hodnotu než niekoľko desiatok strán výstupu, ktorý jeho autor nedokáže prepojiť so schémou.
Ak sa po zmene metódy výsledok zvýšil z d na e a na stroji sa nič nezmenilo, prvá otázka by mala znieť: čo teraz počítame inak a prečo to smieme urobiť? Nie: kde podpísať prevzatie.
5. DC 99% a splnené CCF. Čo sa skutočne vykonalo?
Do výpočtov bolo zadané vysoké diagnostické pokrytie. Splnené boli aj opatrenia proti poruchám so spoločnou príčinou. Výsledok vyzerá dobre.
Teraz treba tieto ochranné opatrenia nájsť na stroji.
Hodnota vybraná z rozbaľovacieho zoznamu má oproti skutočnej diagnostike jednu výhodu: vždy sa dá nastaviť na 99%.
Samotný výpočet neurčuje, či systém skutočne zisťuje predpokladané poruchy. Spracúva údaje, ktoré doň boli zadané. Ak bola diagnostika posúdená na základe želaní, výsledok môže byť matematicky správny a technicky bezcenný.
Vodič spätnej väzby je zapojený. Čo sa vlastne vracia?
Vráťme sa k dvom stýkačom K₁ a K₂. V projekte bola navrhnutá kontrola ich stavu a vo výpočtoch sa predpokladalo DC = 99%.
Predpokladajme, že hlavné kontakty K₁ zostanú zopnuté napriek povelu na vypnutie. K₂ môže stále prerušiť napájaciu vetvu. Diagnostika však musí rozpoznať nesprávny stav K₁ a systém naň musí primerane reagovať.
Čo teda kontroluje signál spätnej väzby?
Ak iba potvrdzuje, že program vypol povel na zopnutie cievky, neposkytuje informáciu o skutočnom rozopnutí hlavných kontaktov. Vieme, čo riadiaci systém požadoval. Ešte však nevieme, či to stýkač vykonal.
Riadiaci systém vydal povel a skontroloval vlastný povel. Stýkač sa na tejto kontrole nemusel podieľať.
Ani pripojenie ľubovoľného pomocného kontaktu túto otázku nerieši. Je potrebná správna a potvrdená závislosť jeho stavu od prvkov, ktorých poruchu chceme zistiť. Okrem toho je potrebné správne zapojenie, posúdenie možných porúch obvodu spätnej väzby a logika, ktorá informáciu využije v správnom okamihu.
Norma stanovuje vysoké diagnostické pokrytie pre určité spôsoby priameho monitorovania elektromechanických zariadení. Nepriznáva ho len za prítomnosť svorky označenej ako „spätná väzba“.
Najprv treba preukázať, čo použité riešenie zisťuje. Až potom možno zadať hodnotu, ktorá mu zodpovedá.
DC nie je percentom úspešných pokusov o zastavenie
DC sa vzťahuje na pomer intenzity zistených nebezpečných porúch k intenzite všetkých nebezpečných porúch posudzovaného prvku. Neznamená percento úspešných zastavení ani počet druhov porúch zaškrtnutých v zozname.
Sto správnych zastavení funkčného systému nepotvrdzuje, že systém zistí 99% nebezpečných porúch. Pri takýchto skúškach nemusela nastať žiadna z porúch, ktorých zistenie bolo zahrnuté do výpočtu.
Overilo sa, že funkčný stykač sa rozopne. Do správy sa dostal záver, že systém zistí stykač, ktorý sa nerozopol. Medzi týmito tvrdeniami chýba overenie.
Neznamená to povinnosť poškodiť sto prístrojov, aby sa vypočítalo percento. Diagnostické pokrytie možno odôvodniť analýzou porúch alebo vhodným použitím odhadov stanovených v norme. Treba však preukázať, že opísané opatrenie zodpovedá skutočnému vyhotoveniu.
DC = 99% pre monitorovaný stykač tiež automaticky neznamená DCavg = 99% pre celý subsystém. Ostatné prvky majú vlastné poruchy a vlastnú diagnostiku. Pri určovaní priemerného diagnostického pokrytia sa zohľadňuje ich podiel na intenzite nebezpečných porúch. Prvok bez zisťovania porúch z výpočtu nezmizne len preto, že zhoršuje priemer.
Veľmi kvalitné monitorovanie jedného prvku sa na ostatné prvky neprenesie len preto, že sú vedľa seba v rozvádzači.
Bola zistená porucha. Môže výroba pokračovať?
Samotné rozpoznanie nesprávneho stavu treba tiež prepojiť s reakciou.
V našom variante zostáva chybný K₁ zopnutý. Systém zistí nesúlad a zablokuje opätovné spustenie, pretože ďalšia prevádzka nezodpovedá zvolenému spôsobu ochrany.
Pri uvádzaní do prevádzky sa však objaví problém: hlásenie zastaví výrobu. Niekto zmení podmienku tak, aby sa po potvrdení alarmu mohlo pokračovať v práci. Vo výpočtoch má diagnostika naďalej rovnakú hodnotu.
Zisťovanie sa ponechalo. Odstránil sa len jeho nepríjemný dôsledok.
Každá reakcia na poruchu nemusí vyzerať rovnako. Musí však zodpovedať požiadavkám funkcie a zvolenej architektúry. Ak sa v odôvodnení zohľadnilo zistenie poruchy a zablokovanie nebezpečného pokračovania prevádzky, samotné zobrazenie hlásenia na paneli nie je rovnocenným riešením.
Treba skontrolovať celý reťazec: poruchu, jej zistenie, čas zistenia a reakciu stroja. Nielen to, či sa zmení stav vstupu v riadiacom systéme.
Dva kanály môžu mať jednu spoločnú príčinu poruchy
Redundancia pomáha vtedy, keď porucha jedného kanála nezníži účinnosť druhého. Nestačí teda nakresliť dva kanály a ďalej s nimi bez analýzy ich prevádzkových podmienok zaobchádzať ako s nezávislými.
Posúďme predpokladané prepätie v napájaní, ktoré môže poškodiť prvky oboch kanálov. Alebo zvýšenie teploty po poruche chladenia, ktoré pôsobí na oba kanály súčasne. To je práve typ problému, ktorý treba zohľadniť pri posudzovaní CCF — porúch so spoločnou príčinou.
Prepätie sa po poškodení prvého kanála nezastaví, aby rešpektovalo redundanciu v schéme.
Spoločné napájanie alebo spoločný kryt automaticky neznamenajú, že riešenie je neprípustné. Treba však preukázať zodpovedajúcu odolnosť a použité ochranné opatrenia. Nemožno predpokladať, že sa každý nesprávny stav zdvorilo obmedzí na jeden kanál.
Preto opatrenia proti CCF posudzujeme pre skutočný subsystém a jeho použitie. Ochrana vstupov, logiky a výstupov môže vyžadovať rôzne riešenia. Jedna tabuľka skopírovaná medzi projektmi nepotvrdzuje, že rovnaké predpoklady vyhovujú každému z nich.
Chýba päť bodov. Veď školenie prebehlo
V bodovacej metóde opísanej v norme sa vyžaduje získanie najmenej 65 bodov za použité opatrenia proti CCF. Nie je to percento zistených porúch ani hodnotenie kvality celého stroja.
Predpokladajme, že odôvodnené položky dávajú spolu 60 bodov. Chýba päť. V tabuľke je položka týkajúca sa školenia a v dokumentácii sa nachádza prezenčná listina zo školenia operátorov.
Dá sa zaškrtnúť. Hárok to prijme.
Posudzované opatrenie sa však týka vyškolenia projektantov v oblasti príčin a následkov porúch so spoločnou príčinou s príslušným zdokumentovaním. Školenie operátorov o obsluhe stroja rieši inú otázku.
Zamestnanci boli vyškolení na obsluhu. Vo výpočtoch sa započítalo, že projektant rozumie poruchám so spoločnou príčinou. Päť bodov sa získalo zmenou adresáta školenia.
Podobne funguje aj pripisovanie bodov za opatrenie zavedené len čiastočne. V tejto metóde čiastočné splnenie neprináša časť bodov. Za danú položku prináša nulu.
Nejde o dôslednosť len kvôli tabuľke. Bodovanie nahrádza podrobnejší odhad iba pri dodržaní jeho pravidiel. Ak začneme prideľovať body za podobné, plánované alebo „zvyčajne používané“ riešenia, prestávame túto metódu používať, hoci formulár stále vyzerá rovnako.
Parameter musí viesť ku konkrétnemu riešeniu
Pri zvolenom DC musí byť možné určiť monitorovaný prvok, spôsob zisťovania jeho nebezpečných porúch a požadovanú reakciu. Pri započítaných opatreniach proti CCF zase skutočné vyhotovenie, podmienky použitia a základ na pridelenie bodov.
Pre už skôr posúdený subsystém používame príslušné údaje a podmienky jeho integrácie. Vlastnú časť systému treba posúdiť samostatne. Interné diagnostické pokrytie relé neprenášame na stykače, snímače a zapojenia, ktoré tento parameter neopisuje.
Po zmene programu, prístrojového vybavenia alebo zapojenia tiež kontrolujeme, či predchádzajúce odôvodnenie naďalej zodpovedá stroju. Odstránenie monitorovania alebo oslabenie reakcie na poruchu neprestáva byť významné len preto, že výpočtový súbor nikto neotvoril.
DC a CCF majú opisovať ochranné opatrenia, ktoré boli realizované. Nie tie, ktoré chýbali na získanie požadovaného písmena.
6. Tisíc cyklov za zmenu. Bezpečnostné relé tiež vykonáva prácu
Poloautomatické montážne pracovisko. Operátor otvorí ochranný kryt, vymení dielec, zatvorí ochranný kryt a spustí ďalší cyklus. V posudzovanom riešení spôsobí každé otvorenie vypnutie reléových výstupov a stykačov a obnovenie pripravenosti — ich opätovné zapnutie.
Tisíckrát za zmenu.
Pri posudzovaní životnosti však niekto zohľadní iba príležitostné použitia núdzového zastavenia. Pretože tie isté stykače sú použité aj vo funkcii E-STOP a hríbové tlačidlo predsa takmer nikto nestláča.
Vo výpočtoch prístroje čakajú na núdzovú situáciu. V rozvádzači od rána obsluhujú každý ďalší kus.
Možno správne prepísať údaje výrobcu, správne použiť vzorec a získať úplne nepoužiteľný výsledok. Stačí vypočítať prvok pre iný počet operácií, než aký skutočne vykonáva.
Bezpečnostná funkcia nemusí čakať na núdzovú situáciu
Ochrana sa môže podieľať na bežnej obsluhe stroja počas celej zmeny. Neznamená to, že každú polminútu vzniká núdzová situácia. Znamená to, že spôsob práce si vyžaduje pravidelné vykonávanie určenej bezpečnostnej úlohy.
Na pracovisku s ochranným krytom otváraným pri každom dielci je takouto úlohou zabrániť nebezpečnému pohybu počas prístupu. Pri ručnom zakladaní cez ochranné pole svetelnej clony — zastaviť pohyb alebo zachovať jeho zablokovanie po narušení poľa. Pri správne použitom dvojručnom ovládaní — umožniť určený nebezpečný pohyb iba pri splnení požadovaných podmienok ovládania.
V každom z týchto riešení môžu reléové výstupy pracovať v každom pracovnom cykle. Môžu — nemusia. Treba skontrolovať konkrétny obvod. Tisíc narušení ochranného poľa svetelnej clony automaticky neznamená tisíc zopnutí každého prístroja v rozvádzači.
Rovnako ani vyvolanie programového bloku v každom cykle riadiaceho systému nie je mechanickým cyklom relé.
Nápis „safety“ opisuje určenie prístroja. Nezbavuje jeho kontakty fyzikálnych zákonov.
Jeden stroj, tri rôzne veci, ktoré treba vypočítať
Pri projektovaní musíme rozlišovať vystavenie osoby nebezpečenstvu, vyžiadanie bezpečnostnej funkcie a operácie konkrétneho komponentu.
Pri vystavení osoby nebezpečenstvu nás zaujíma, ako často a ako dlho sa osoba nachádza v posudzovanej situácii vzhľadom na nebezpečenstvo. Pri vyžiadaní bezpečnostnej funkcie — kedy je potrebné vykonať jej úlohu. Pri životnosti stykača — koľko cyklov vykoná práve tento stykač.
Tieto čísla môžu navzájom súvisieť. Nie sú však zo svojej podstaty totožné.
Predpokladajme, že K₁ sa podieľa na núdzovom zastavení, ochrane prístupu prostredníctvom ochranného krytu a bežnom zastavovaní procesu. Do jeho počtu operácií sa započítavajú skutočné zopnutia vyplývajúce zo všetkých týchto použití. Nielen z funkcie, pre ktorú sme práve otvorili výpočtový hárok.
Na druhej strane nepočítame ten istý fyzický cyklus trikrát len preto, že bol priradený trom funkciám. Počítame prácu prvku, nie počet miest, na ktorých sa nachádza jeho označenie.
Rozdelenie funkcií v dokumentácii je potrebné. Nerozdeľuje opotrebovanie spoločného prístroja na niekoľko nezávislých limitov.
Stykač po prechode do ďalšej kapitoly správy nedostane novú súpravu kontaktov.
Pol milióna cyklov ročne. Bez mimoriadneho výrobného tempa
Pre náš príklad predpokladajme 1000 úplných cyklov prvku za zmenu, dve zmeny denne a 250 pracovných dní za rok.
Ročný počet operácií je:
nop=1000×2×250=500 000 cyklov/rok.
Tisíc cyklov počas osemhodinovej zmeny predstavuje v priemere jeden cyklus každých 28,8 sekundy. Nepotrebujeme linku vyrábajúcu stovky kusov za minútu, aby prístroje vykonávali stovky tisíc operácií ročne.
V tomto príklade jeden úplný cyklus zahŕňa zapnutie a vypnutie prvku. Pri skutočnom výbere musí spôsob počítania zodpovedať definícii cyklu, na ktorú sa vzťahujú použité údaje výrobcu. Nemožno vziať počet zapnutí z jedného prehľadu, počet zmien stavu z druhého a považovať ich za rovnakú veličinu.
Treba zohľadniť aj dodatočné operácie počas plánovaných skúšok, nastavovania alebo iných činností — ak skutočne spôsobujú spínanie tohto prvku.
Ročný plán výroby môže byť rozpísaný až na jednotlivý kus. Počet zopnutí vo výpočtoch bezpečnosti by nemal pochádzať z neformálneho rozhovoru.
B10D nie je zárukou prevádzky až do miliónteho cyklu
Pre elektromechanické, mechanické a pneumatické prvky podliehajúce opotrebovaniu môžeme použiť parameter B10D. Opisuje priemerný počet cyklov do nebezpečného zlyhania 10 % komponentov.
Neznamená to, že každý kus bezpečne vykoná tento počet operácií. Nie je to ani ľubovoľný údaj o „životnosti“ odčítaný z katalógu.
Údaje musia zodpovedať použitiu a prevádzkovým podmienkam. Pri kontaktoch je okrem iného dôležité zaťaženie, pre ktoré bola daná hodnota stanovená. Mechanická životnosť, elektrická životnosť a B10D sa nestávajú zameniteľnými len preto, že sú všetky uvedené v cykloch.
Najväčšie číslo v katalógu poskytne najkrajší výsledok. Treba ešte skontrolovať, či sa vzťahuje na podmienky v našom stroji.
Na ďalší výpočet použime ako modelový predpoklad B10D = 1 000 000 cyklov pre jeden elektromechanický prvok, ktorý spĺňa podmienky použitia tejto metódy. Je to predpoklad príkladu, nie parameter konkrétneho výrobku.
MTTFD: dvadsať rokov. Výmena: najneskôr po dvoch rokoch
Z B10D a ročného počtu operácií určíme MTTFD komponentu:
MTTFD = B10D / (0,1 × nop).
Pre naše údaje:
MTTFD = 1 000 000 / (0,1 × 500 000) = 20 rokov.
Môžeme si vydýchnuť. Stroj sa má používať desať rokov, takže dvadsať vyzerá ako dostatočná rezerva.
Lenže MTTFD nie je prípustná doba používania tohto konkrétneho kusu.
Rovnakou metódou určíme T10D, ktorým obmedzíme dobu používania komponentu:
T10D = B10D / nop = 1 000 000 / 500 000 = 2 roky.
Oba výsledky sú správne. MTTFD slúži na opis spoľahlivosti komponentu v prijatom modeli. T10D určuje obmedzenie jeho doby používania vyplývajúce z B10D a intenzity prevádzky.
Kto považoval dvadsať rokov za termín výmeny, práve desaťnásobne predĺžil dobu používania. Výlučne zámenou názvov dvoch parametrov.
Ak je predpokladaná doba používania systému dlhšia, komponent treba vymeniť najneskôr pred uplynutím T10D alebo v okamihu jeho dosiahnutia. Nie je to predpoveď, že presne v ten deň komponent prestane fungovať. Je to hranica platnosti prijatého odôvodnenia jeho spoľahlivosti.
Z týchto dvoch výpočtov sme ešte nezískali PL e ani žiadnu inú PL celej funkcie. Získali sme parameter spoľahlivosti jedného komponentu a obmedzenie jeho používania. Obe informácie musia byť zahrnuté do príslušného posúdenia subsystému.
Samotný prísľub výmeny každé dva roky automaticky nezlepší MTTFD z 20 na 100 rokov. Nenahradí ani chýbajúcu diagnostiku. Umožňuje dodržať obmedzenie, na ktorom je založená použitá metóda.
Hotové bezpečnostné relé nie je jeden kontakt
Uvedený výpočet sa týkal komponentu posudzovaného metódou B10D. Pri hotovom, vopred posúdenom bezpečnostnom module používame parametre a podmienky, ktoré sa vzťahujú na tento modul a jeho použitie.
Ak sú uvedené PL a PFH, treba overiť, pre ktoré konfigurácie, zaťaženia, frekvencie činnosti a doby používania tieto údaje platia. Ak je stanovený limit cyklov, nemožno ho vynechať len preto, že je vedľa neho uvedené PL e.
Nevyberieme ľubovoľné číslo označené ako životnosť relé, sami ho nenazveme B10D a na tomto základe nevyhlásime nový výsledok pre celý modul.
Z produktového listu treba do projektu prevziať nielen priaznivé písmeno, ale aj podmienky uvedené pod ním.
Ak zo skutočnej intenzity prevádzky vyplýva výmena konkrétneho komponentu každé dva roky a stroj má pracovať desať rokov, vzniká konkrétna prevádzková úloha. Treba naplánovať ďalšie výmeny a poskytnúť používateľovi informácie potrebné na ich vykonanie. Výsledok ponechaný výlučne v súbore projektanta nezabezpečí organizáciu prehliadok v závode.
Stroj nemusí celé roky potrebovať núdzové zastavenie. Stýkač, ktorý ho má vykonať, môže za ten čas zopnúť milióny ráz. Nápis „E-STOP“ v schéme neodpočíta ani jeden cyklus.
7. Stroj na desať rokov. Prvé relé na dva
V projektovej dokumentácii bola stanovená pravidelná výmena komponentu. V návode zostalo všeobecné odporúčanie: „pravidelne kontrolovať bezpečnostný systém“.
Po dvoch rokoch relé počas prehliadky funguje. Stroj sa po otvorení ochranného krytu zastaví. Nie je hlásená porucha, preto sa náhradný diel neobjedná.
Projektant stanovil výmenu pred poruchou. Závod vymieňa až po poruche. Dosiahnutá úroveň PL bola zapísaná tak, akoby sa obe strany dohodli na rovnakej metóde.
Nedohodli sa. Ak bola pravidelná výmena podmienkou prijatou pri posudzovaní funkcie, nemožno ju ponechať výlučne vo výpočtoch. Používateľ musí vedieť, ktorý komponent vymeniť, kedy ho vymeniť a čo po výmene skontrolovať.
Samotné „pravidelne kontrolovať“ neposkytuje žiadnu z týchto informácií. Umožňuje však počas nasledujúcich rokov zapisovať do protokolov, že kontrola bola vykonaná.
Päť kusov. Štyri výmeny. Jeden stroj
Uvažujme prevádzkový príklad: stroj je určený na desaťročné používanie a pre vybrané relé je stanovený limit jedného milióna cyklov. Pri 500 000 cykloch ročne to znamená výmenu najneskôr po dvoch rokoch, pokiaľ si žiadne iné obmedzenie nevyžaduje skoršiu výmenu.
Týmto harmonogramom neurčujeme PL. Rozpisujeme údržbu potrebnú na zachovanie podmienok, za ktorých bol systém posúdený.
Pri nezmenenej intenzite prevádzky a výmenách na konci nasledujúcich dvojročných období to vyzerá takto:
| Obdobie používania stroja | Kus relé | Úkon na konci obdobia |
|---|---|---|
| 0–2 roky | Prvý, namontovaný pri výrobe | Prvá výmena |
| 2–4 roky | Druhý | Druhá výmena |
| 4–6 rokov | Tretí | Tretia výmena |
| 6–8 rokov | Štvrtý | Štvrtá výmena |
| 8–10 rokov | Piaty | Ukončenie používania stroja v tomto scenári |
Päť kusov a štyri výmeny počas desiatich rokov. Nie päť výmen — piaty kus pracuje až do stanoveného konca používania.
Je to hraničný harmonogram. V praxi sa výmena plánuje tak, aby sa limit neprekročil, namiesto toho, aby sa až po jeho dosiahnutí overovala dostupnosť dielu a najbližší voľný termín odstávky.
Dodacia lehota nového relé nepredlžuje povolenú dobu používania starého. Ani keď sa dodávateľ veľmi ospravedlňuje.
Časové obmedzenie stroja nie je dátum uvedený na prvej strane
Desať rokov používania musí znamenať viac než očakávaný čas návratnosti investície. Treba určiť podmienky, za ktorých si má stroj počas tohto obdobia zachovať požadované vlastnosti.
Koľko zmien denne? Koľko dní v roku? Aký počet operácií? Pri akom zaťažení? Ktoré diely treba vymeniť pred uplynutím obdobia stanoveného pre celý stroj?
„Stroj na desať rokov“ a „všetky diely na desať rokov“ sú dva rôzne prísľuby. Druhý sa automaticky nezískava spolu s prvým.
V projektovej dokumentácii sú potrebné parametre a predpoklady odôvodňujúce výsledok. V informáciách pre používateľa — úkony, ktoré z nich vyplývajú. Prevádzka nemusí dostať každý interný pracovný list projektanta, aby zistila, kedy treba vymeniť relé. Musí však dostať jednoznačné informácie umožňujúce túto výmenu vykonať.
V praxi by mal záznam odkazovať na konkrétne označenie v schéme a konkrétny diel. Mal by určovať limit, spôsob stanovenia termínu, podmienky bezpečného vykonania práce a požadovanú kontrolu.
Počítadlo cyklov a upozornenie na blížiacu sa výmenu môžu byť pritom užitočné. Harmonogram možno založiť aj na čase, ak spôsob používania skutočne zabezpečuje dodržanie stanoveného limitu operácií. Najskôr však treba tieto predpoklady oznámiť.
Údržba by nemala z dátumu výroby prístroja odhadovať, aké zaťaženie projektant pred tromi rokmi uviedol vo výpočtoch.
Dodatočná výrobná zmena skracuje termín. Nie od zajtrajška počítaného ako nultý deň
Vráťme sa k prvku z predchádzajúceho výpočtu. Po roku prevádzky v dvoch zmenách vykonal 500 000 cyklov. Polovicu stanoveného milióna.
Prevádzka zavádza tretiu zmenu. Pri nezmenených 1000 cykloch na zmenu a 250 pracovných dňoch ročne je nová intenzita:
1000×3×250=750 000 cyklov/rok.
Zostávajúcich 500 000 cyklov sa využije približne po ôsmich mesiacoch takejto prevádzky. Pri predpokladanom rovnomernom využívaní teda limit dosiahneme približne v dvadsiatom mesiaci od začiatku prevádzky, a nie po dvoch rokoch.
Pre nový kus by milión cyklov teraz zodpovedal približne šestnástim mesiacom. V rozvádzači však nebol namontovaný nový kus. Súčasný už má za sebou pol milióna operácií.
Zmena výrobného plánu nevynuluje opotrebenie prístrojov. Nanajvýš ho vynuluje pracovný list, ak v ňom niekto pri tejto príležitosti začal počítať od začiatku.
Pritom sa treba vrátiť nielen k termínu výmeny. Pri komponente z predchádzajúceho príkladu B10D zvyšuje nárast počtu operácií z 500 000 na 750 000 ročne vypočítanú hodnotu MTTFD z 20 na približne 13,3 roka. Je to nový údaj na posúdenie podsystému.
Neznamená to automatický pokles o jednu úroveň PL. Znamená to potrebu overiť, či predchádzajúci výsledok zostáva odôvodnený pri zmenenej intenzite používania.
Skoršia výmena rieši problém prekročenia limitu. Nenahrádza kontrolu ostatných dôsledkov zvýšeného počtu operácií.
„Skontrolovali sme ho. Stále funguje“ nepredlžuje stanovenú životnosť
Funkčná skúška a výmena po stanovenom čase alebo počte cyklov slúžia na rôzne účely.
Pozitívny výsledok skúšky potvrdzuje funkčnosť v skúšanom rozsahu. Opotrebovanému prvku neobnovuje parametre nového kusu a sám osebe nie je dôvodom na predĺženie obmedzenia stanoveného v posúdení.
Relé vykonalo ešte jedno zopnutie. Priznať mu za to ďalšie dva roky by bolo mimoriadne veľkorysou interpretáciou výsledku skúšky.
Nejde o tvrdenie, že po prekročení termínu prístroj okamžite prestane fungovať. Nejde ani o automatické prepísanie PL e na PL d. Ide o to, že ďalšiu prevádzku už nemožno bez zmeny odôvodniť výsledkom založeným na nedodržanej podmienke.
Ak sa výmena nevykonala, treba obnoviť požadované podmienky a systém náležite skontrolovať. Doplnenie ďalšej kontroly s pozitívnym výsledkom neodstraňuje nevykonaný úkon.
Náhradný diel pasuje do pätice. A do výpočtov?
Pri ďalšej výmene sa použije iný model. Mechanicky pasuje, má správne napájacie napätie a rovnaký počet výstupov. Stroj možno spustiť.
To ešte nepotvrdzuje rovnocennosť z hľadiska bezpečnostnej funkcie.
Význam môžu mať parametre spoľahlivosti, čas reakcie, spôsob monitorovania, prípustné zaťaženie a prevádzkové podmienky. Náhradný diel musí spĺňať rovnaké bezpečnostné požiadavky, ktoré sú dôležité v danom použití — nestačí, aby mal iba zhodné rozmery.
Pätica overila rozstup svoriek. Zvyšok posúdenia je stále úlohou človeka.
Po oprave alebo úprave systému je potrebná primeraná opätovná validácia zahŕňajúca funkčnú skúšku. Jej rozsah závisí od zmien. Výmena za rovnaký prvok nevyžaduje, aby sa so strojom zaobchádzalo ako s úplne novým projektom, nezbavuje však povinnosti skontrolovať, či boli obnovené správne zapojenia a fungovanie.
Nové relé neobnovuje ani históriu ostatných dielov. Stýkače, snímače a ventily majú vlastné obmedzenia. Výmenou jedného prístroja sa obdobie používania celého systému nezačína odznova.
Údržbu treba navrhnúť, nielen odporučiť
Ak si prvok vyžaduje pravidelnú výmenu, treba zabezpečiť možnosť jej vykonania. Prístup, identifikácia dielu, priestor na náradie a spôsob kontroly po dokončení práce patria do projektu rovnako ako svorky a vodiče.
Záznam „vymieňať každé dva roky“ veľmi nepomôže, ak označenie prístroja nie je viditeľné, jeho vybratie si vyžaduje odpojenie susedných obvodov a dokumentácia neumožňuje obnoviť zapojenia bez dohadov.
To neospravedlňuje odkladanie výmeny. Ukazuje to, že projektant určil potrebný úkon, ale nezabezpečil podmienky na jeho vykonanie.
Kompletnosť návodu na obsluhu a informácií o výmenách sa kontroluje počas validácie. Chýbajúci interval výmeny teda nie je drobným redakčným nedostatkom po ukončení posúdenia. Môže ísť o chýbajúcu podmienku zachovania jeho výsledku.
Ak odôvodnenie PL predpokladá štyri výmeny, ale návod nepredpokladá ani jednu, používateľovi bol poskytnutý iný režim prevádzky než ten, pre ktorý bola preukázaná bezpečnosť.
8. PL je vypočítaná. Teraz treba ešte skontrolovať stroj
Pri preberaní otvorili ochranný kryt. Na paneli sa zobrazilo hlásenie o aktívnom STO. Pohon prestal vytvárať krútiaci moment a mechanizmus sa po chvíli zastavil. Do protokolu zapísali: „bezpečnostná funkcia funguje“.
„Po chvíli“ je veľmi praktická časová jednotka. Zmestí sa do nej takmer každý dobeh.
Výsledok výpočtov zodpovedá požiadavke, zariadenie reaguje, ale stále treba určiť, či realizovaná reakcia skutočne chráni človeka. Bol zastavený správny pohyb? Bol zastavený dostatočne rýchlo? Bol po zastavení zachovaný požadovaný stav? A bolo to overené v podmienkach, v ktorých sa bude stroj používať?
Práve preto preukázanie PL ≥ PLr nenahrádza validáciu celej realizácie funkcie. Nestačí správne vypočítať spoľahlivosť realizácie úlohy, ktorá bola definovaná neúplne.
STO funguje. Pohyb sa ešte nezastavil
STO — bezpečné vypnutie krútiaceho momentu — nie je univerzálny príkaz „uveď stroj do bezpečného stavu“. Týka sa zabránenia vytváraniu krútiaceho momentu motorom. Samo osebe nerealizuje riadené brzdenie, nepotvrdzuje zastavenie a nezabezpečuje elektrické oddelenie.
Vezmime si pracovisko s otočným stolom. Po aktivácii STO prestane motor poháňať stôl, ale nahromadená pohybová energia nezmizne. Stôl sa zastaví až po dobehu. Ak počas tohto času môže človek dosiahnuť do priestoru nebezpečného pohybu, samotná správna realizácia STO ochrannú úlohu nerieši.
Frekvenčný menič vykonal svoju funkciu. Projektant jej pripísal ešte niekoľko ďalších, ktoré si neobjednal.
Iné požiadavky platia pre zastavenie vodorovného pohonu a iné pre udržanie zaťaženej zvislej osi. Ak sa bremeno môže pohybovať pôsobením gravitácie, treba zabezpečiť jeho bezpečné udržanie. Vypnutie krútiaceho momentu motora sa nestane prostriedkom na udržanie len preto, že bolo realizované s vysokou PL.
Nie je to argument proti použitiu STO. Vo vhodne navrhnutom systéme môže správne realizovať potrebnú čiastkovú funkciu. Najprv však treba určiť, či potrebujeme iba zabrániť vytváraniu krútiaceho momentu, zabezpečiť riadené zastavenie, udržanie bremena alebo kombináciu viacerých činností.
Úlohu, ktorú treba vykonať, neurčuje cena dostupnej funkcie pohonu.
Požadovalo sa pol sekundy. Stroj potrebuje viac ako sekundu
Na modelovom príklade predpokladajme, že na ochranu určeného prístupu bol stanovený maximálny čas 0,5 s od iniciovania funkcie do zastavenia nebezpečného pohybu. Ide o predpoklad nášho príkladu, ktorý vyplýva z prijatej koncepcie ochrany — nie o univerzálny limit pre stroje.
Počas skúšky nameriame 1,2 s.
Systém môže mať veľmi dobré parametre spoľahlivosti. Môže zakaždým správne prijať signál a vykonať predpokladané prepnutie. Nespĺňa však stanovenú časovú požiadavku.
Stroj spoľahlivo robí príliš málo. Lepšia hodnota PFH neskráti jeho dobeh.
Treba zmeniť realizáciu zastavenia alebo koncepciu ochrany prístupu a riešenie opäť overiť. Nestačí zmerať iba reakciu relé, ak sa požiadavka týka zastavenia pohybu celého mechanizmu.
V druhom variante je čas 0,4 s. Časová podmienka je splnená, ale samotné toto meranie ešte nepotvrdzuje PL. Rovnako ako výsledok PFH nepotvrdil čas v prvom variante.
Ide o dve požiadavky. Ani jedna automaticky nepotvrdzuje splnenie druhej.
Ani stýkač nenahrádza definovanie úlohy
STO a rozopnutie stýkača nie sú totožné činnosti. V druhom prípade kontakty fyzicky prerušia určený obvod. Treba však vedieť, ktorý obvod a ktorý zdroj energie odpájame.
Z toho nevyplýva, že pridanie stýkača automaticky zabezpečí rýchlejšie zastavenie alebo bezpečné udržanie osi. Takisto z toho nevyplýva, že každý stýkač vypínaný riadiacim obvodom zabezpečuje izoláciu vhodnú na vykonávanie elektrických prác.
Ak si úloha vyžaduje prácu v beznapäťovom stave a izolovanie zariadenia, sú potrebné vhodné prostriedky na odpojenie a zaistenie proti opätovnému zapnutiu. Samotné hlásenie „STO aktívne“ nie je potvrdením takéhoto stavu. Nie je ním ani samotný príkaz na vypnutie stýkača.
Neprítomnosť krútiaceho momentu, neprítomnosť pohybu a izolovaný obvod nie sú tri názvy toho istého stavu.
Pri posudzovaní správania v podmienkach poruchy vychádzame z rozsahu posúdenia podsystému a podmienok jeho použitia. Nepripisujeme STO odolnosť voči akejkoľvek poruche, ale zároveň nepredpokladáme, že každý skrat v meniči musí spôsobiť nebezpečný pohyb. Takýto záver nemožno vyvodiť len z absencie izolácie.
O výbere riešenia rozhodujú úlohy a operácie stroja, posudzované nebezpečenstvá a požadovaná reakcia. Až spomedzi riešení, ktoré spĺňajú tieto podmienky, porovnávame náklady, životnosť a jednoduchosť obsluhy.
Úspora na stýkačoch môže byť dobrým výsledkom projektu. Nemôže byť jeho bezpečnostnou špecifikáciou.
Validácia nie je ďalším výtlačkom z výpočtov
Validácia zahŕňa analýzu aj skúšky. Overujeme funkčné požiadavky, ako aj podklady dosiahnutej PL: použité údaje, architektúru, diagnostiku, správanie pri poruchách a podmienky použitia.
S touto prácou nezačíname až vtedy, keď stroj čaká na prepravu. Už špecifikáciu treba skontrolovať z hľadiska úplnosti a súladu s určeným používaním. Ak sa v nej uvádza iba „aktivovať STO“, možno tento signál vzorovo potvrdiť a stále nezodpovedať otázku, či bolo nebezpečenstvo zvládnuté.
Chýbajúce kritérium v špecifikácii neuľahčuje splnenie požiadavky. Uľahčuje prehliadnutie toho, že požiadavka nebola splnená.
Skúšky treba prepojiť s tým, čo sa má preukázať. Zahŕňajú príslušné prevádzkové režimy, sekvencie signálov, podmienky opätovného spustenia a predvídateľné neštandardné situácie. Pre kategórie 2, 3 a 4 sú určené aj príslušné skúšky s vnášaním porúch, ktoré umožňujú overiť fungovanie diagnostiky a požadovanú reakciu.
Takéto skúšky sa plánujú a vykonávajú za kontrolovaných podmienok. Nenahradí ich náhodné odpojenie jedného vodiča počas uvádzania do prevádzky ani všeobecné uistenie, že „sme skontrolovali poruchy“.
Možno použiť existujúce výsledky validácie subsystémov. Nie je potrebné opätovne skúmať celé vnútorné usporiadanie každého zakúpeného zariadenia. Ich spojenia, rozhrania a fungovanie v konkrétnom stroji však treba naďalej overiť.
Treba tiež potvrdiť, že skúšané vyhotovenie zodpovedá dokumentácii: použité zariadenia, verzia programu, konfigurácia a dôležité nastavenia. Po zmene softvéru alebo riešenia treba príslušný rozsah validácie zopakovať.
Správa sa po nahratí nového programu sama neaktualizuje. Ani keď sa súbor stále nazýva „final“.
Jedna funkcia. Odpovede, ktoré možno overiť
Namiesto ďalšieho súhrnného hodnotenia „bezpečnosť — OK“ je vhodné vedieť pri každej funkcii zodpovedať nasledujúce otázky:
| Otázka | Kde by mala byť odpoveď? |
|---|---|
| Pred čím chránime a počas akej činnosti? | V posúdení rizika, medziach stroja a opise určeného používania. |
| Čo aktivuje funkciu a aký stav má zabezpečiť? | V špecifikácii: reakcia, čas, prevádzkové režimy a podmienky udržania stavu a opätovného spustenia. |
| Akú úroveň PLr požadujeme a aká úroveň PL bola dosiahnutá? | V odôvodnení požiadavky a posúdení konkrétnej realizácie — s medzami subsystémov, metódou, údajmi a predpokladmi. |
| Spĺňa vyhotovený stroj tieto požiadavky? | Vo výsledkoch analýz a skúšok priradených k jednotlivým požiadavkám vrátane požiadaviek týkajúcich sa posudzovaných porúch. |
| Ktorého vyhotovenia sa výsledky týkajú? | V identifikácii zariadení, programu, konfigurácie a dokumentácie zahrnutých do overovania. |
| Čo treba zachovať počas prevádzky? | V stanovených obmedzeniach a v pravidlách kontroly, obsluhy a výmeny dielov odovzdaných používateľovi. |
Nejde o vytvorenie šiestich nových formulárov. Ide o možnosť nájsť odpovede a overiť, či sa všetky týkajú tej istej funkcie a toho istého stroja.
Projektová dokumentácia nemusí byť používateľovi odovzdaná v celom rozsahu. Pod touto zámienkou však nemožno u projektanta ponechať informácie potrebné na správnu prevádzku.
Hranica medzi internou dokumentáciou a návodom nesmie používateľa odrezať od podmienok, ktoré má splniť.
Výsledok sa musí týkať stroja odovzdaného používateľovi. Nie najlepšej verzie schémy, najvýhodnejšieho nastavenia ani programu spred poslednej opravy.
Relé neurobí prácu za projektanta
Rozhovor zo školenia bol dobrým úvodom do tohto článku, pretože ukázal chybu, ktorú možno ľahko urobiť v dobrej viere. Vyberú sa kvalitné zariadenia, skontrolujú sa ich parametre a predpokladá sa, že výsledok celej funkcie bude rovnako dobrý.
Nie vždy to tak bude.
Nevyriešime to ani kupovaním najdrahších zariadení pre každú aplikáciu, ani opakovaním, že všetko závisí od posúdenia rizika. Treba vedieť preukázať konkrétnu súvislosť medzi nebezpečenstvom, požiadavkou, realizovaným systémom a výsledkom jeho overenia.
Ak je súčet PFH príliš veľký, zmeníme riešenie. Ak predpokladaná diagnostika neexistuje, treba ju implementovať alebo systém opätovne posúdiť. Ak výsledok vyžaduje pravidelné výmeny, používateľ musí dostať príslušné informácie. Ak STO funguje, ale človek môže napriek tomu prísť do kontaktu s nebezpečným pohybom, ochranná úloha nebola splnená.
Znalosť ISO 13849-1 nespočíva v obratnom používaní skratiek. Spočíva v tom, že dokážeme odôvodniť rozhodnutia týkajúce sa vlastného stroja.
Označenie PL e na zariadení je informáciou od jeho výrobcu. Úroveň PL e funkcie už treba odôvodniť vlastnou prácou.
Zdroje a poznámky
[1] Rozsah a vydanie normy. Tento text sa vzťahuje na PN-EN ISO 13849-1:2023-09, ktorou sa zavádzajú EN ISO 13849-1:2023 a ISO 13849-1:2023. Oficiálne publikačné údaje: ISO 13849-1:2023 — Bezpečnosť strojových zariadení — Bezpečnostné časti riadiacich systémov — Časť 1: Všeobecné zásady navrhovania. Katalógová stránka identifikuje vydanie a rozsah; nenahrádza úplné znenie normy. Čísla bodov v ďalších poznámkach sa týkajú tohto vydania, pokiaľ nie je výslovne uvedený iný dokument.
[2] PFH a spojenie subsystémov — úvod a 1. časť. PN-EN ISO 13849-1:2023-09, bod 3.1.58, tabuľka 2, body 6.2.1–6.2.2 a kapitola 8: význam PFH, rozsahy PL, sčítanie známych PFH pri sériovom spojení už posúdených subsystémov, obmedzenie výsledku najnižšou úrovňou PL subsystému a porovnanie PL s PLr. V tomto vydaní tabuľka 2 uvádza pre PL e hodnotu PFH < 10−7 h−1 bez dolnej hranice 10−8. Údaje 3, 4, 5 a 2, 3, 4 × 10−8 h−1 sú modelové; ostatné požiadavky sa v týchto výpočtoch považovali za splnené.
[3] Hranice funkcie, kategória a PL — časť 2. PN-EN ISO 13849-1:2023-09, čl. 5.2.1.3, 5.5, 6.1.1, 6.1.3.2.5–6.1.3.2.6 a 6.2: špecifikácia funkcie, rozdelenie na podsystémy, požiadavky kategórií 3 a 4 a rozsah posúdenia PL. Príklad troch výsledkov pre kategóriu 3 vychádza z tabuľky K.1, stĺpca DCavg = stredná, vypočítanej pre 90 %, a riadkov MTTFD = 10, 30 a 100 rokov na kanál: v uvedenom poradí 1,36 × 10−6, 2,65 × 10−7 a 4,29 × 10−8 h−1. Obrázok G02 rozlišuje výkonový obvod od modelu spoľahlivosti; zobrazenému zapojeniu nepriraďuje kategóriu ani PL.
[4] Určenie PLr — časť 3. PN-EN ISO 13849-1:2023-09, čl. 5.3–5.4 a informatívna príloha A: obrázok A.1, čl. A.2, A.3.1–A.3.3 a tabuľky A.1–A.2. Základ zahŕňa závažnosť zranenia, frekvenciu a čas vystavenia, reálnu možnosť zabrániť ujme alebo ju obmedziť, pravidlo jediného hodnotenia C vedúceho k P2 a usmernenia týkajúce sa 15 minút a 1/20 pracovného času. A.2 umožňuje odôvodnené a zdokumentované zníženie výsledku o jednu úroveň pri nízkej pravdepodobnosti nebezpečnej udalosti; metóda nie je jedinou prípustnou metódou a príslušná norma typu C môže určiť PLr inak. Požiadavky sa stanovujú pred výberom riešenia; poradie príkladov v článku zodpovedá poradiu výkladu.
[5] Výber metódy výpočtu — časť 4. PN-EN ISO 13849-1:2023-09, čl. 6.1.3.2.1, 6.1.8–6.1.9 a 6.2.1–6.2.3, obrázok 12 a tabuľka 9. Zjednodušený postup vyžaduje rovnocennosť podsystému s príslušnou architektúrou a splnenie predpokladov modelu. Pri odlišnej architektúre je potrebný podrobný výpočet. Tabuľka 9 sa týka spojenia podsystémov, keď nie sú známe všetky hodnoty PFH; sčítanie sa týka situácie, keď sú známe všetky hodnoty PFH. Príklad rozdielu medzi tabuľkovým výsledkom a súčtom konkrétnych údajov ilustruje odlišné rozsahy týchto metód, nie možnosť ľubovoľne si vybrať výhodnejšie písmeno. Postup podľa 6.1.9 má pri chýbajúcej hodnote MTTFD obmedzený rozsah a vlastné podmienky.
[6] Diagnostika a CCF — časť 5. PN-EN ISO 13849-1:2023-09, čl. 5.2.1.3, 6.1.5–6.1.7, informatívna príloha E (tabuľka E.1 a čl. E.2) a príloha F (čl. F.1–F.3, najmä F.3.5, a tabuľka F.1). DC sa vzťahuje na skúmaný prvok; DCavg zohľadňuje príspevok prvkov k intenzite nebezpečných porúch. Pri metóde podľa prílohy F je požadovaný výsledok najmenej 65 bodov; za čiastočné zavedenie daného opatrenia sa pri tejto položke prideľuje nula bodov. Položka týkajúca sa odbornej prípravy sa vzťahuje na prípravu projektantov v oblasti príčin a následkov CCF. Scény s potvrdzovaním vlastného povelu, vynechaním reakcie a prezenčnou listinou operátorov sú interpretačnými príkladmi.
[7] Cykly, B10D, MTTFD a T10D — časť 6. PN-EN ISO 13849-1:2023-09, čl. 5.2.1.3 písm. j), 5.5, 6.1.4 a C.4.1–C.4.3. Vzorce C.1–C.3 a C.7: MTTFD = B10D / (0,1 × nop) a T10D = B10D / nop. Pri modelovej hodnote 500 000 cyklov/rok a B10D = 1 000 000 cyklov dostaneme 20 rokov a 2 roky. Rozhodujúca je prevádzka konkrétneho komponentu v jeho aplikácii, nielen počet použití jedného iniciačného zariadenia. Tieto výsledky samy osebe neurčujú PL podsystému ani funkcie.
[8] Obmedzenia a obsluha — časť 7. PN-EN ISO 13849-1:2023-09, čl. C.4.2–C.4.3, 10.9, kapitola 11 a kapitoly 12–13: obmedzenie používania prvku, poskytnutie podmienok výmeny, validácia úplnosti návodu na obsluhu, prístupnosť pri servise a opätovná validácia po oprave alebo úprave. Harmonogram piatich kusov a štyroch výmen sa týka predpokladaného desaťročného obdobia, výmen každé dva roky a ukončenia používania v desiatom roku. Milión cyklov relé je v tomto scenári predpokladaným prevádzkovým limitom, nie automaticky jeho hodnotou B10D. Výpočet zmeny intenzity po jednom roku už zohľadňuje vykonaných 500 000 cyklov a modelovo rovnomernú prevádzku v nasledujúcich mesiacoch.
[9] Validácia — časť 8 a záver. PN-EN ISO 13849-1:2023-09, čl. 5.2.1.3, 5.2.2.2, kapitola 8, čl. 10.1–10.6, 10.8–10.9 a kapitoly 12–13: funkčná požiadavka a PLr, analýza a skúšky, primerané vnášanie porúch pre kategórie 2, 3 a 4, validácia prepojenia podsystémov a softvéru, vysledovateľné výsledky a informácie pre používateľa. Časy 0,5 s, 1,2 s a 0,4 s sú predpokladmi príkladu, nie limitmi uvedenými v norme. Tabuľka otázok usporadúva dôkazový materiál; nie je úplným validačným plánom ani povinným formulárom.
[10] STO, zastavenie a izolácia — doplnenie časti 8. PN-EN 60204-1:2018-12, čl. 5.4–5.6 a 9.2.2–9.2.3.3: rozlíšenie medzi zabránením neočakávanému spusteniu, funkciou izolácie a kategóriami zastavenia, ako aj výber reakcie podľa posúdenia rizika a činnosti stroja. Toto vydanie preberá EN 60204-1:2018 a IEC 60204-1:2016 s európskymi úpravami. Údaje o základnej publikácii: IEC 60204-1:2016 — Bezpečnosť strojov — Elektrické zariadenia strojov — Časť 1: Všeobecné požiadavky. Normou pre pohony uvedenou v čl. 5.2.2.2 ISO 13849-1:2023 je IEC 61800-5-2:2016 — Elektrické výkonové pohonné systémy s nastaviteľnou rýchlosťou — Časť 5-2: Bezpečnostné požiadavky — Funkčné; uvedený odkaz identifikuje túto publikáciu, neznamená však, že v článku bolo vykonané jej úplné preskúmanie. Nebol prijatý univerzálny scenár pohybu po akomkoľvek skrate v meniči. Vlastnosti konkrétneho pohonu treba overiť v rozsahu jeho posúdenia a za podmienok použitia.
[11] Odkazovanie na normy vo vyhlásení — úvod.Smernica 2006/42/ES — príloha II, časť 1, oddiel A, body 7–8 a Nariadenie (EÚ) 2023/1230 — príloha V, časť A, bod 7: odkazy na použité normy a technické špecifikácie. Nariadenie stanovuje aj uvedenie použitých častí pri čiastočnom použití noriem; v súlade s článkom 54 sa v zásade uplatňuje od 20. januára 2027. Komentár v úvode sa týka prezentovania odkazu ako potvrdenia práce, ktorá nebola vykonaná; nepredpokladá, že samotné vlastníctvo normy alebo uvedenie jej čísla potvrdzuje zhodu stroja.
[12] Charakter príkladov. Rozhovor zo školenia uvedený v úvode vychádza zo skúsenosti autora. Ostatné konfigurácie, údaje a situácie uvedené ako príklady rozvíjajú požiadavky a súvislosti opísané v normách; nie sú spojené s firmou zo školenia ani s konkrétnymi výrobkami. Žiadny obrázok, tabuľka ani jednotlivý výpočet nenahrádza posúdenie a validáciu skutočnej funkcie. Zdrojom technických požiadaviek sú uvedené vydania noriem, nie články výrobcov prístrojov. Tento materiál nepredstavuje prehľad aktuálneho zoznamu harmonizovaných noriem.