»Ob nevarnosti bo upravljavec pritisnil gobasti gumb.« Tako je mogoče hitro končati razpravo o varovanju stroja. Gumb je nameščen, tokokrog deluje, med preskusom se je stroj ustavil. Zdaj moramo samo še predpostaviti, da bo človek nevarnost pravočasno opazil, se pravilno odzval in nadomestil tisto, česar nismo zagotovili s konstrukcijo ali zaščito delovnega mesta.
Projektant ne sme refleksov upravljavca šteti med manjkajoče varnostne ukrepe. Preventivna varnostna funkcija mora preprečiti določen nevarni dogodek. Funkcija zaustavitve v sili pa mora omogočiti poseg ob obstoječi ali bližajoči se izredni situaciji, preprečiti njen razvoj in omejiti posledice nevarnosti. Lahko pomaga preprečiti poškodbo. Zaradi tega še ne postane nadomestilo za zaščito, ki mora nevarni dogodek preprečiti.
To je razlika med zagotavljanjem zaščite in upanjem na uspešen poseg. Pri oceni tveganja je ne smemo skriti pod skupno ugotovitvijo »vgrajen je varnostni sistem«. ISO 13850 opredeljuje zaustavitev v sili kot dopolnilni varovalni ukrep. Ne zato, ker bi bila nepomembna, temveč zato, ker mora dopolnjevati druga varovala, ne pa opravičevati njihove odsotnosti.
Druga zmota se začne z odločno izjavo: »Po pritisku izklopimo vse.« Toda ustavljen stroj ni nujno varen stroj. Človek lahko ostane ukleščen, izklop opreme, ki ga je do tedaj varovala, pa lahko položaj še poslabša. Samo mirovanje ne pove, ali je nevarnost obvladana.
Naloge zaustavitve v sili zato ne smemo skrčiti na odklop čim več naprav. Določiti je treba, katera nevarna dejanja morajo prenehati, v kakšnem zaporedju in kaj mora zaradi zaščite človeka še naprej delovati. Pri nekaterih uporabah so poleg zaustavitve potrebna dodatna zaščitna dejanja.
Upravljavec mora odziv sprožiti z enim dejanjem. Pred pritiskom ne sme ugibati, ali bodo posledice izklopa hujše od trenutne nevarnosti. To mora biti rešeno pri projektiranju. Bolj ko želimo poenostaviti človekov poseg, manj prostora lahko pustimo nepremišljenim posledicam odziva stroja.
Če je prevzemni preskus omejen na vprašanje, ali se je pogon ustavil, lahko potrdimo zaustavitev, ne da bi odgovorili na bistveno vprašanje: ali je stroj pravilno ukrepal glede na obravnavano izredno situacijo? Zapis »E-STOP deluje« ne pojasni, kaj preprečuje druga zaščita in kaj se bo po pritisku zgodilo s človekom.
Možnost zaustavitve stroja ni dokaz ustrezne zaščite. Konec gibanja ni vedno konec nevarnosti.
1. Preprečevanje in odziv v sili nista dva načina za isto nalogo
»Svetlobna zavesa ustavi stroj. Gobasti gumb tudi. Zakaj zapletati?« Če bi o učinkovitosti varovanja odločalo samo to, ali se motor nazadnje ustavi, bi bilo vprašanje smiselno. Primerjali bi dve shemi, našli isti kontaktor in sklenili, da je razlika predvsem v ceni.
Spregledali bi le, kdaj se bo stroj ustavil in kaj se lahko do takrat zgodi človeku. Preventivna varnostna funkcija mora preprečiti določen nevarni dogodek. Zaustavitev v sili mora obrniti potek obstoječe ali bližajoče se izredne situacije. V obeh primerih bo morda treba ustaviti gibanje, vendar zato še ne rešujemo iste težave.
Svetlobna zavesa ne čaka, da človek že doseže orodje
Vzemimo delovno mesto, na katerem lahko človek doseže premikajoče se orodje. Predpostavimo, da je dostop mogoče varovati s svetlobno zaveso: nevarno gibanje je mogoče ustaviti med ciklom, do orodja pa ni mogoče seči mimo zaznavnega polja.
Svetlobna zavesa zazna roko in sproži zaustavitev. Njena oddaljenost od orodja mora upoštevati odzivni čas celotnega sistema in pot ustavljanja stroja. Nevarno gibanje mora prenehati, preden ga človek lahko doseže. To je naloga funkcije. Ne zgolj preklop izhodov in ne prikaz sporočila »varnostna zaustavitev« na zaslonu.
Če lahko roka doseže premikajoče se orodje, preden se stroj ustavi, zaščita pred tem stikom ni zagotovljena. To velja tudi, če je svetlobna zavesa pravilno preklopila, krmilnik sprejel signal in pogon izvršil ukaz. Vse naprave lahko delujejo skladno s projektom, napačen pa je lahko prav projekt.
Preskus svetlobne zavese se zato ne konča s prekinitvijo žarkov. Dokazati je treba, da zaznavanje in zaustavitev dejansko preprečita dogodek, pred katerim naj bi funkcija varovala.
Pri zaustavitvi v sili mora poseg sprožiti človek
Naprava za zaustavitev v sili ne prevzema naloge zaznavanja dostopa. Človeku omogoči, da sproži predvideni odziv na situacijo, ki zahteva takojšen poseg. Poškodba se še ni nujno zgodila. ISO 13850 obravnava tudi bližajočo se izredno situacijo. Nekdo lahko opazi nevaren razvoj dogodkov in pritisne gumb, preden nastane škoda. Poseg pa bo morda potreben tudi takrat, ko nevarno delovanje že poteka.
V prvem primeru iz prejšnjega primera zaščito sproži zaznava roke. V drugem mora človek prepoznati potrebo po posegu in ga začeti. Teh nalog ne moremo izenačiti z ugotovitvijo, da »obe ustavita stroj«.
Če svetlobno zaveso odstranimo in pustimo samo gumb, ni več samodejne zaustavitve ob zaznavi roke. Človek mora opaziti težavo in sprožiti odziv. Iz projekta smo odstranili zaznavanje, v utemeljitev pa zapisali, da je upravljavec usposobljen. Prihranek je resničen. Enakovrednost zaščite je izmišljena.
Zato ISO 13850 opredeljuje zaustavitev v sili kot dopolnilni varovalni ukrep in prepoveduje, da bi jo uporabljali namesto tehničnih varovalnih ukrepov ter drugih potrebnih funkcij. Zaustavitev v sili je varnostna funkcija, vendar ji zato ne moremo pripisati poljubne zaščitne naloge.
Isti rele ne odpravi razlike med funkcijama
Funkcije lahko souporabljajo krmilne elemente, če so izpolnjene ustrezne zahteve. Opreme ni treba množiti brez razloga. Ločeno pa moramo določiti, kaj sproži posamezno funkcijo in čemu je njen odziv namenjen.
Pri svetlobni zavesi preverjamo zaščito pred nevarnim stikom. Pri zaustavitvi v sili preverjamo pravilen odziv na obravnavano izredno situacijo, ki ni vedno omejen na mirovanje. Pritisk gobastega gumba ne dokazuje, da človek ne more doseči premikajočega se orodja. Prav tako pravilno uporabljena svetlobna zavesa ne odgovori na vsa vprašanja o potrebnem odzivu v sili.
Skupni kontaktor je mogoče utemeljiti. Skupne ugotovitve »izpolnjeno« za dve različni nalogi pa ni dovolj kopirati.
Dve funkciji lahko ustavita isti pogon, vendar to še ne pomeni, da človeka varujeta pred istim dogodkom.
2. »Upravljavec bo pravočasno ukrepal« ni varovalo stroja
Predstavljajmo si mesto za ročno podajanje, ob katerem je dostopen verižni pogon. Nevarnost zagrabitve je prepoznana. V oceni tveganja so navedeni varovalni ukrepi: gumb za zaustavitev v sili, oznake in usposabljanje upravljavca. Po njihovem upoštevanju je tveganje ocenjeno kot sprejemljivo.
Veriga je še vedno dostopna. Delavec ob njej še vedno opravlja ista opravila. Spremenila se je barva celice v preglednici. Za varovalo ni bilo denarja. Refleks upravljavca je bil vpisan brezplačno.
Kaj je dejansko zmanjšalo tveganje?
Namestitev gumba ni omejila dostopa do pogona. Ni zmanjšala pogostosti dela v njegovi bližini in mehanizmu ni odvzela sposobnosti zagrabitve. Zagotovljena je le možnost sprožitve zaustavitve v sili. Zdaj je treba dokazati, v katerih okoliščinah lahko ta poseg pomaga.
Kdo bo opazil nevarnost? Po čem jo bo prepoznal? Ali bo dosegel napravo? Ali bo med zaznavo situacije in nastankom škode ostalo dovolj časa za učinkovito ukrepanje? Odgovor »upravljavec je usposobljen« razreši samo del teh vprašanj. Potrjuje pripravljenost na določena opravila, ne pa fizične možnosti ukrepanja v obravnavani situaciji.
Podpis na seznamu usposabljanja ne skrajša poti ustavljanja stroja in ne podaljša časa do zagrabitve. Zaustavitev v sili lahko izboljša možnost preprečitve ali omejitve škode in zato pri oceni tveganja ni brez vrednosti. Toda korist mora biti povezana s konkretnim zaporedjem dogodkov, ne samodejno priznana zaradi prisotnosti rdečega gumba.
Če v tem primeru ni dokazana možnost učinkovitega posega, zapis »E-STOP in usposabljanje« ni zadostna utemeljitev zaščite pred zagrabitvijo.
Izmerjen je bil čas od pritiska, ne od začetka nevarnosti
Med preskusom oseba stoji ob napravi, ve, kaj bo storila, in sama sproži zaustavitev. Meritev pokaže čas od uporabe naprave do prenehanja nevarnega gibanja. To je potreben rezultat, vendar ne vključuje dogodkov, ki mu morajo v resnični situaciji slediti pred pritiskom: opažanja nevarnosti, prepoznave potrebe po posegu in izvedbe dejanja.
Za krmilni sistem je določen odzivni čas. Za upravljavca pa je preprosto predpostavljeno, da bo dovolj hiter. Delavec ima lahko obe roki zaposleni s podajanjem obdelovanca. Lahko je zunaj dosega gumba ali pa poseg potrebuje prav zato, ker ga sam ne more več sprožiti.
Tudi predpostavko, da bo ukrepal sodelavec, je treba preveriti. Druga oseba mora biti navzoča, videti dogajanje in imeti možnost ukrepanja. Ob stroju se ne pojavi samo zato, ker je bila v oceno vpisana »pomoč sodelavca«.
Dostopnost naprave se zato preverja glede na mesta in opravila, pri katerih je poseg lahko potreben, ne le s položaja osebe, ki med prevzemom udobno stoji pred upravljalnim pultom. Delujoč sistem lahko ukaz prejme prepozno. To ni okvara releja, ki bi jo zaznala diagnostika, temveč nepreverjena predpostavka o sodelovanju človeka.
Krajši odzivni čas krmilnika tega ne bo popravil, če je glavni problem nastal še pred pritiskom gumba.
»Bodite posebej previdni.« Po možnosti vso izmeno
Ob stroju je zapisano: »Upravljavec mora biti posebej previden, stalno opazovati delovanje stroja in ob nevarnosti takoj uporabiti zaustavitev v sili.« Ta stavek ustreza skoraj vsakemu stroju. Prav zato pove tako malo.
Predpostavimo, da mora upravljavec prevzemati izdelke, preverjati njihovo kakovost in jih odlagati v zaboj za delovnim mestom. Navodila hkrati zahtevajo »neprekinjeno opazovanje nevarnega območja«. Ko izdelek odloži, se mora obrniti. Ne krši navodil, ne uporablja telefona in si ne izmišlja lastnega načina dela. Opravlja nalogo, ki jo je predvidel projektant. Isti projektant je varnost odvisno vezal na gledanje v nasprotno smer.
Delo je načrtovano za eno osebo. Zahtevana pozornost očitno za dve. Ukaz »takoj ustavi« v takšnem sistemu ne rešuje težave. Nekdo mora najprej opaziti, da je zaustavitev potrebna. Če zaščita temelji na neprekinjenem opazovanju, predvidena opravila pa ga prekinjajo, so projektne predpostavke med seboj v nasprotju.
Dodajanje besede »posebna« pred »previdnost« tega nasprotja ne odpravi. Poveča le zahteve do upravljavca, ne da bi spremenilo pogoje, v katerih jih mora izpolniti.
Opozoril ni treba odstraniti iz navodil. Ne smemo pa z njimi nadomeščati dela, ki ni bilo opravljeno pri projektiranju zaščite. Informacije za uporabnika imajo svoje mesto pri zmanjševanju tveganja, vendar ne nadomeščajo pravilne uporabe konstrukcijskih in varovalnih ukrepov.
Enako velja za zaustavitev v sili: dopolnjuje varovanje, njegove naloge pa ne prenaša na človekovo budnost. Zaščito je treba preveriti tudi takrat, ko upravljavec pravilno opravlja delo, ki njegovo pozornost usmeri stran od stroja. Ne šele po dogodku spraševati, zakaj ravno takrat ni gledal.
»Pazi, upravljavec« je lahko opozorilo. Ni tehnično varovalo v obliki stavka.
Človekova pozornost je pomembna, vendar iz nje ne moremo izdelati varovala, dosega ali dodatnih sekund do poškodbe.
3. Ustavljen stroj lahko človeka še vedno ogroža
V opisu funkcije pogosto piše: »Po sprožitvi zaustavitve v sili se pogoni ustavijo, stroj pa preide v varno stanje.« Prvi del je mogoče preveriti: pogoni ne povzročajo več nevarnega gibanja. Drugi del zahteva ugotovitev, kaj poleg gibanja ogroža človeka in kaj se je s to nevarnostjo zgodilo.
Za besedo »zaustavitev« je preprosto dodati »varno stanje«. V konstrukciji stroja ta povezava ne nastane zaradi vejice. Prenehanje gibanja lahko prekine razvoj izredne situacije, človeka pa pusti pod pritiskom, ukleščenega ali brez možnosti umika. Stroj ne potrebuje novega cikla, da bi še naprej povzročal škodo.
Hitrost je padla na nič. Sila stiskanja morda ni
Obravnavajmo valjčni sistem, v katerem pritisk enega valja zagotavljajo vzmeti. Ud je zagrabljen, sprožen je E-STOP in vrtenje se ustavi. Nadaljnje vlečenje je prekinjeno, vendar valja ostaneta stisnjena. Pogon je izvršil ukaz. Tudi vzmeti delujejo natančno tako, kot so bile zasnovane. Človek je še vedno stisnjen.
To ne pomeni, da je bila zaustavitev nepotrebna ali da ni učinkovito prekinila vlečenja. Pomeni, da ni rešila celotne situacije. Prenehanje nevarnega gibanja in omogočanje osvoboditve sta dve različni nalogi, ki ju je treba uskladiti.
Če je bila pri analizi obravnavana zagrabitev, je treba določiti tudi način osvoboditve človeka. Glede na konstrukcijo bo morda treba razmakniti elemente, sprostiti pritisk ali omogočiti ustrezno zasnovano povratno gibanje. Vsako od teh dejanj ni primerno za vsak stroj. Težava ni rešena samo zato, ker se po zaustavitvi nič več ne premika.
ISO 13850 odziva v sili ne omejuje na mirovanje
ISO 13850 predvideva, da lahko funkcija zaustavitve v sili poleg ustavljanja sproži tudi druge funkcije, med drugim obrat ali omejitev gibanja. Cilj je omejiti možnost nastanka škode, ne doseči čim večjega števila izključenih izhodov.
Ustaviti je treba nevarna gibanja in dejanja. Iz tega ne sledi, da je vsako gibanje med odzivom v sili samodejno nedopustno. Pravilno zasnovan premik lahko človeka varuje. Beseda »pravilno« tu ni okras.
Pri načrtovanju povratnega gibanja je treba preveriti, ali to res pomaga pri obravnavanem ukleščenju. Ali lahko poškodbo poveča? Ali nastane drugo mesto zagrabitve? Kaj se medtem dogaja s pritiskom? Kakšen obseg gibanja in kakšen način krmiljenja sta potrebna? Sprememba predznaka zahtevane hitrosti še ni projekt reševalne funkcije, čeprav v programu morda zahteva eno samo vrstico.
ISO 13850 takšna dejanja dopušča, ne določa pa podrobnih zahtev za njihovo izvedbo. Sklicevanje na standard zato ne dokazuje, da sta poljubno povratno gibanje ali odpiranje mehanizma varna. Oceniti je treba konkretno rešitev.
Zaustavitev ne sme odvzeti možnosti osvoboditve
Ločiti moramo dodatno dejanje, vključeno v odziv na E-STOP, od samostojne funkcije za osvoboditev človeka po zaustavitvi. V prvem primeru je dejanje del vnaprej zasnovanega odziva v sili. V drugem sama zaustavitev ne izvede celotne osvoboditve, vendar mora pustiti možnost, da jo opravimo z ustreznimi sredstvi.
Ni treba, da vsak stroj po pritisku samodejno razmakne elemente ali izvede povratno gibanje. ISO 13850 pa zahteva, da zaustavitev v sili ne poslabša drugih zaščitnih funkcij. Med njimi izrecno omenja osvoboditev ujetih oseb.
To je pomembno ob razlagi: »Osvoboditev je mogoča, vendar moramo najprej obnoviti normalno delovanje.« Funkcija osvoboditve mora omogočiti reševanje človeka, ne pa znova omogočiti vseh proizvodnih gibov v upanju, da bo nekdo uporabil samo pravega. Pogoje sprožitve, razpoložljiva gibanja in njihove omejitve je treba določiti v projektu, ne šele takrat, ko nekdo dejansko potrebuje pomoč.
Po zaustavitvi torej ni dovolj vprašanje »kaj se je ustavilo?«. Vprašati je treba tudi, katero nevarno delovanje še traja in kaj je predvideno za njegovo obvladovanje. Varno stanje ne nastane, ko tako poimenujemo spremenljivko v krmilniku. Zagotoviti ga moramo na stroju, tudi za človeka, ki se ne more sam osvoboditi.
Mirovanje je lahko del varnega stanja. Ni pa njegova avtomatična definicija.
4. Zakaj lahko izklop vsega položaj poslabša
»Po pritisku gobastega gumba izključimo vse izhode.« Zapis je preprost. Tudi program. Pri prevzemu zlahka preverimo, ali je vse ugasnilo. Toda en izhod lahko napaja nevarni pogon, drugi pa napravo, ki prav v tistem trenutku varuje pred drugo nevarnostjo. Izklop obeh ne zagotovi dvojne varnosti.
ISO 13850 zahteva prednostno delovanje zaustavitve v sili, hkrati pa prepoveduje poslabšanje učinkovitosti drugih zaščitnih funkcij. Opozarja tudi, da bo morda treba ohraniti delovanje pomožne opreme, na primer elektromagnetnih prijemal ali zavornih naprav. To ni protislovje. Je razlog, da pred skupnim odklopom energije preverimo, kaj je nanj priključeno.
Pogon je treba ustaviti. Tovora pri tem ne smemo odvreči
Predpostavimo, da naprava premika jekleni element z elektromagnetnim prijemalom, ki zahteva neprekinjeno napajanje. Ohranjanje tovora je odvisno od prijemala, neodvisna zaščita pred njegovim izpustom pa ni predvidena. Projektant z istim odklopom zajame pogone gibanja in napajanje prijemala.
Po pritisku E-STOP se pogoni izklopijo. Prijemalo izgubi sposobnost držanja tovora. Ukaz je izvršen brez napake, skupaj z odvzemom podpore bremenu.
Težava ni nedelujoč gumb ali zlepljen kontaktor. Oprema je naredila točno to, kar je bilo projektirano. Napaka je v predpostavki, da lahko vse porabnike obravnavamo enako samo zato, ker so napajani z električno energijo.
Pravilna naloga je ustaviti nevarno premikanje in ohraniti varno držanje tovora. Način izvedbe je treba izbrati in preveriti za konkretno konstrukcijo. Iz tega ne sledi univerzalna zahteva, da mora določen tokokrog ostati pod napetostjo. Sledi pa zahteva, da mora držanje ostati učinkovito.
»Toda po E-STOP ne bi smelo biti energije.« Težnost ni priključena prek našega kontaktorja. Skupaj z njim se ne bo izklopila.
Tudi gasilni sistem je mogoče brezhibno izključiti
Drugi primer je stroj z gasilnim sistemom, katerega sprožitev zahteva električno napajanje. Predpostavimo, da sta krmiljenje gašenja in element za dovod gasilnega sredstva napajana iz tokokroga, ki ga E-STOP odklopi.
Material se vname. Upravljavec sproži zaustavitev v sili. Pogoni se ustavijo, goreči material pa ostane nevaren. Gasilni sistem ne more opraviti svoje naloge, ker smo mu pravkar odklopili napajanje.
Gasilni sistem je brezhiben. Poskrbeti je treba samo, da ob požaru nihče najprej ne uporabi zaustavitve v sili. Takšen pogoj v projektu nima kaj iskati.
ISO 13850 gašenje požara izrecno navaja kot primer zaščitne funkcije, na katero zaustavitev v sili ne sme negativno vplivati. To ne pomeni, da mora med požarom celoten proces ostati nespremenjen. Določiti moramo pravilen odziv: katera dejanja prekiniti, katere vire nevarnosti odklopiti in kako ohraniti učinkovito protipožarno zaščito.
»Izključi vse« teh vprašanj ne reši. Z enim ukazom se jim izogne.
Kategorija 0 ne pomeni »celoten stroj brez napetosti«
ISO 13850 predvideva zaustavitev v sili kategorije 0 ali 1, izbrano na podlagi ocene tveganja. Pri kategoriji 0 se energija pogonskih elementov odklopi takoj. To ne pomeni nujno takojšnjega prenehanja gibanja; potrebno je lahko dodatno zaviranje.
Pri kategoriji 1 ostane energija pogonskih elementov med nadzorovanim ustavljanjem na voljo, dovod pa se odklopi po doseženi zaustavitvi. Kategorija zaustavitve opisuje način ustavljanja. Ni ukaz za izklop vseh naprav, ki so se znašle na isti shemi.
Izbira kategorije zato ne odpravi potrebe po preverjanju prijemala, zavore ali gasilnega sistema. Tudi čas izpada kontaktorja sam po sebi ne pove, ali se je nevarno gibanje ustavilo na pravilen način in ali zaustavitev ni ustvarila nove nevarnosti.
Ne gre za ohranjanje nevarnih dejanj pod pretvezo zaščite. Ločiti je treba dve nalogi: prekiniti tisto, kar ogroža človeka, in ne onesposobiti tistega, kar ga mora še naprej varovati.
Izključili so vse. Tako temeljito, da tudi opremo, ki bi morala varovati človeka.
5. Upravljavec ne sme ugibati, ali bo po pritisku še slabše
»Upravljavec ve, kaj mora izključiti in v kakšnem vrstnem redu.« To je lahko opis priprave linije na načrtovani zastoj. Kot razlaga zaustavitve v sili pa pomeni, da smo del naloge krmilnega sistema prepustili človekovemu spominu.
Človek mora prepoznati nevarnost, se spomniti povezav med napravami in pravilno izvesti zaporedje. Po možnosti brez napake, saj naj bi bil vrstni red pomemben za varnost. Avtomatizirali smo celoten proizvodni cikel. Pri varni zaustavitvi pa smo se odločili zaupati ročnemu delu.
ISO 13850 zahteva, da odločitev o uporabi naprave za zaustavitev v sili ne terja premisleka o posledicah njene uporabe. Človek mora prepoznati potrebo po posegu. Ne sme dodatno ugotavljati, ali bo pritisk poslabšal položaj.
Eno dejanje človeka ne pomeni enega dejanja stroja
Funkcija se sproži z enim dejanjem. Nato se morajo nevarna gibanja in dejanja ustaviti na pravilen način, brez potrebe po nadaljnjem poseganju. Standard dopušča, da to zahteva vnaprej določeno zaporedje.
En pritisk lahko torej sproži več usklajenih dejanj. To ne pomeni, da moramo vse izključiti hkrati, niti ne pomeni, da lahko upravljavec preostanek ročno izklaplja sam. Če varnost zahteva določen vrstni red, ga je treba določiti pri projektiranju. Enako velja za dejanja, ki morajo prenehati, opremo, ki mora ostati učinkovita, in stanje, ki ga mora sistem doseči.
Zapis »zaporedna zaustavitev« še ni odgovor na ta vprašanja. Prav tako ni treba avtomatizirati vsake poznejše reševalne dejavnosti. Zahteva po zaustavitvi brez nadaljnjega posega se nanaša na nevarna dejanja stroja. Ločena sredstva za osvoboditev človeka lahko zahtevajo zavestno upravljanje.
Eno je uporabiti funkcijo osvoboditve. Nekaj povsem drugega pa je šele z drugim gumbom ustaviti gibanje, ki še vedno ogroža osebo, potrebno pomoči.
Vsak dobavitelj je ustavil svoje. Podajanje se nadaljuje
Obravnavajmo linijo za obdelavo dolgih profilov. Obdelovalni stroj in podajalnik imata ločeni krmilji. Naprava za zaustavitev v sili pri stroju ustavi orodje, ne zajame pa podajalnika, ki profil še naprej potiska v delovno območje. V obravnavani situaciji nadaljnje podajanje človeku grozi s stisnjenjem.
Orodje stoji. Material se še premika. Dobavitelj pojasni: »Podajalnik ima svoj gobasti gumb.« Res ga ima. Toda človek je pravkar uporabil napravo ob mestu nevarnosti in še vedno ni dobil potrebnega odziva.
Meje dobave so jasne. Poskrbeti je treba samo še, da jih bo spoštovala tudi izredna situacija.
Analiza mora zajeti medsebojno delovanje naprav. Če nadaljnje podajanje ohranja obravnavano nevarnost, ga mora zajeti tudi odziv na zaustavitev v sili. Preverjanje, da se vsak stroj posebej odzove na svoj gumb, ne potrjuje učinkovitosti odziva celotne linije.
To ne pomeni, da mora vsak gumb ustaviti celoten obrat. Pomeni pa, da območja delovanja ne določamo po meji električne omare ali po podjetju, ki je napisalo program.
Vprašanje »kateri gobasti gumb?« je treba rešiti pred izredno situacijo
Izhodišče ISO 13850 je, da naprava za zaustavitev v sili deluje na celoten stroj. Standard dopušča delitev na območja delovanja, na primer kadar bi ustavitev vseh povezanih strojev povzročila dodatne nevarnosti ali po nepotrebnem vplivala na proizvodnjo.
Takšna delitev zahteva analizo razporeditve strojev, možnosti prepoznave nevarnosti, procesnih posledic in povezanih nevarnosti. Območja se lahko prekrivajo. Sprožitev zaustavitve v enem območju ne sme povečati tveganja v drugem ali preprečiti tamkajšnje zaustavitve v sili.
Izogibanje nepotrebnemu zastoju je dopustno. Nadaljevanje nevarnega podajanja zaradi tega ne postane optimizacija proizvodnje.
Človek mora napravo povezati z nevarnostjo in prepoznati njeno območje delovanja. ISO 13850 dopušča uporabo lokacije in piktogramov ter priporoča, da delitev ne zahteva branja navodil ali predhodnega pomnjenja.
Oznaka »S14« omogoča iskanje gumba na shemi. Osebi ob stroju še ne pove, katere naprave se bodo ustavile. Električno dokumentacijo lahko beremo za mizo. Med posegom v sili bi moral biti ta del projekta že končan.
Bolj ko mora biti človekovo dejanje preprosto, natančneje mora biti vnaprej določen odziv stroja. Preprost vmesnik ne odpravlja analize. Biti mora njen rezultat. V izredni situaciji se ne organizira sestanka konstruktorja, avtomatika in tehnologa. Njihovi dogovori morajo biti že v projektu.
Upravljavec mora pritisniti en gumb, ne pa v nekaj sekundah dokončati sistemske integracije.
6. Zapis »E-STOP deluje« ne nadomesti ocene zaščite
»Preverjeni so bili vsi gumbi. Rezultat je pozitiven.« Zapisnik vsebuje oznake naprav, datume in podpise. Po vsakem pritisku se je stroj ustavil. Manjka le podatek, kaj je veljalo za pravilen odziv, razen tega, da se nič več ni premikalo.
Gumb je bil preverjen po oznaki na shemi. Funkciji pa bi morali najprej določiti zahteve.
Najprej merilo, nato pozitiven rezultat
Pred preskusom moramo vedeti, kakšen učinek mora biti dosežen. Katera dejanja morajo prenehati, v kolikšnem času, na katerem območju in pod kakšnimi pogoji? Kaj mora ostati učinkovito? Katero vedenje pomeni, da zahteve niso izpolnjene?
Brez teh meril lahko za pravilno razglasimo natanko tisto, kar smo opazili. Pogon se je ustavil po nekaj sekundah? Očitno se je moral ustaviti tako. Sosednja sekcija še vedno deluje? Verjetno ne spada v območje. Dokumentacija ničesar ne določa, zato rezultat nima s čim biti v nasprotju.
Če merilo napišemo po preskusu, lahko zelo preprosto projektiramo stroj, ki vedno uspe. Zahtevati moramo le toliko, kot je pravkar naredil.
Ugotovitve lahko v praksi uredimo tako:
| Področje | Kaj je treba določiti? | Kaj zapisati ali navesti v dokumentaciji? |
|---|---|---|
| Izredna situacija | Pri kateri obstoječi ali bližajoči se situaciji je potreben poseg? Kdo ga lahko sproži? | Scenarij, človekova opravila, stanje stroja in mesto dostopne naprave za zaustavitev v sili. |
| Pričakovani zaščitni učinek | Kaj mora sprožitev funkcije spremeniti? Katero nevarno delovanje mora prekiniti ali omejiti? | Zahtevano stanje in pogoji za njegovo doseganje; po potrebi dodatna zaščitna dejanja in sredstva za osvoboditev. |
| Odziv stroja | Kaj ustavljamo, v kakšnem zaporedju, v kolikšnem času in na katerem območju? | Opis funkcije, kategorija zaustavitve, zaporedje, časovne meje in povezave z drugimi napravami. |
| Preostala zaščita | Kaj mora ostati dejavno? Ali odziv ustvarja novo nevarnost ali poslabša razmere v drugem območju? | Zahteve za ohranjene funkcije, utemeljitev rešitve in rezultat preverjanja njihovega medsebojnega delovanja. |
| Potrditev | S čim je dokazano, da izvedba ustreza določenim zahtevam? | Rezultati analiz, preskusov in meritev, pogoji izvedbe, identifikacija konfiguracije ter razrešitev ugotovljenih odstopanj. |
To je predlog za ureditev preverjanja, ne obrazec iz ISO 13850 in ne celovit načrt validacije. Obseg analiz in preskusov je treba prilagoditi konkretni funkciji, stroju in uporabljeni metodi ocenjevanja.
PL in SIL ne dopolnita manjkajočega opisa funkcije
ISO 13850 zahteva, da deli krmilja, povezani z varnostjo in uporabljeni za zaustavitev v sili, izpolnjujejo ustrezne zahteve ISO 13849-1 in/ali IEC 62061. Določa tudi najmanj PLr c ali SIL 1.
Najmanjša raven ne pomeni, da samodejno zadostuje pri vsaki uporabi. Zahtevano raven je treba določiti za konkretno funkcijo, njen namen in veljavne posebne zahteve. PL e s podatkovnega lista releja ni dovolj prepisati v dokumentacijo. Oceniti je treba izvedbo celotne funkcije, ne samo enega elementa.
Tudi pravilen izračun celotnega sistema ne nadomesti validacije. ISO 13849-1:2023 ločuje preverjanje doseženega PL od validacije, ki vključuje analize in preskuse. Zahteva tudi preverjanje skladnosti in popolnosti specifikacije funkcije glede na predvideno uporabo.
To je pomembno. Standard ne zahteva samo preverjanja, ali je programer zvesto izvedel slabo zastavljeno nalogo. Preveriti je treba tudi, ali je bila naloga zastavljena pravilno.
Rezultat mora veljati za dejansko izdelani stroj
Preverjanje se ne konča, ko gibanje preneha. Funkcija mora biti učinkovita v vseh načinih delovanja, vzdrževati zaustavitev in preprečiti ponovni zagon ustavljenih dejanj zaradi zagonskega signala. Sprostitev naprave ne sme sama znova zagnati stroja. Tudi te pogoje je treba vključiti v preverjanje.
Posameznim zahtevam je smiselno pripisati dokaze, ki potrjujejo delovanje funkcije: točko zapisnika, rezultat meritve, analizo ter različico sheme in programa. Priloga z naslovom »preskus varnosti« ni dovolj, če ni jasno, kaj je bilo preskušeno in po katerem merilu je bil rezultat razglašen za pravilen.
Preskuse je treba načrtovati brez izpostavljanja ljudi. Zagrabitve ne poustvarjamo z resničnim človekom, da bi preverili zasnovo osvoboditve. Uporabimo varne metode preskušanja, analize ali simulacije, prilagojene preverjani rešitvi.
Neizvedeno preverjanje ni pozitiven rezultat, tudi če ima obrazec samo eno polje za kljukico.
Po potrditvi odziva v sili še vedno ostane ločeno vprašanje preventivne zaščite. Pravilno izveden E-STOP ne izpolni zahteve, ki bi jo moralo izpolniti manjkajoče varovalo ali drugače zasnovan dostop. Če zapisnik ne vpraša, kaj se je zgodilo z nevarnostjo, njegov pozitivni rezultat ne bi smel nikogar posebej pomiriti.
Najprej opišite, kaj mora funkcija doseči. Šele nato lahko preskus pokaže, ali je rezultat pravilen.
7. Varovalo ni obljuba, da bo ob nevarnosti nekje mogoče pritisniti
Preventivna varnostna funkcija mora preprečiti določen nevarni dogodek. Funkcija zaustavitve v sili mora omogočiti pravilen poseg, ko izredna situacija že obstaja ali se približuje. Obe zahtevata projektiranje in preverjanje. Ena ne opravi naloge druge samo zato, ker lahko obe ustavita pogon.
Projekt z gumbom za zaustavitev v sili ni popoln, če manjka zaščita pred predvidljivim nevarnim dogodkom. Ne dopolnijo je ne usposabljanje upravljavca, ne visok PL sistema in ne uspešen preskus, omejen na prenehanje gibanja.
Tudi odziv v sili zahteva več kot odločitev, katere izhode izključiti. Določiti je treba pravilno zaustavitev, ohraniti potrebno zaščito in predvideti dejanja za obvladovanje situacije. To je projektantsko delo. Človek ob stroju ga ne bi smel dokončevati v trenutku nevarnosti.
Ne gre za zmanjševanje pomena E-STOP. Ne smemo mu pripisovati zaščite, ki je ne zagotavlja, niti mu odvzeti dejanj, ki jih zahteva učinkovit poseg. Zaustavitev v sili mora pomagati obvladati nevarno situacijo, ne opravičevati odsotnosti zaščite pred njenim nastankom.
Če lahko po celotni oceni povemo samo »stroj se je ustavil«, smo preverili zaustavitev. Pri varnosti človeka nas morda čaka še nekaj dela.
Stroj lahko stoji, dokumentacija je lahko podpisana in E-STOP lahko deluje. Nevarnost pa je lahko še vedno tam.
Viri in opombe
Podlaga za analizo funkcije je ISO 13850:2015. Spodnje opombe navajajo določbe, uporabljene v članku. Povezave vodijo do kart standardov oziroma uradnih besedil in ne do prosto dostopnih kopij celotnih standardov.
[1] Namen funkcije in njena dopolnilna vloga. ISO 13850:2015, točke 3.1, 3.5, 3.8 in 4.1.1.1–4.1.1.3: namen zaustavitve v sili, sprožitev s strani človeka, varnostna funkcija, izredna situacija in prepoved nadomeščanja druge zaščite. Razlikovanje v članku se nanaša na preventivno nalogo posamezne funkcije in na poseg v sili; zaustavitve v sili ne izključuje iz varnostnih funkcij.
[2] Svetlobna zavesa in ustavitev pred nevarnim stikom. ISO 12100:2010, točki 6.3.2.5.1–6.3.2.5.2: pogoji uporabe občutljive varovalne opreme, možnost ustavljanja, položaj zaznavnega polja in povezava s krmiljem. Standard glede namestitve napotuje na ISO 13855. Primer ni izračun razdalje ali končna izbira svetlobne zavese.
[3] Možnost človekovega posega in meje navodil. ISO 12100:2010, točki 5.5.2.3.3 in 6.1: dejavniki, ki vplivajo na možnost preprečitve ali omejitve škode, ter prepoved nadomeščanja ustreznih varovalnih ukrepov z informacijami za uporabnika. ISO/TR 14121-2:2012, točka 8.4, navaja zaustavitev v sili kot primer ukrepa, ki vpliva predvsem na možnost preprečitve ali omejitve škode. To je napotek tehničnega poročila, ne podlaga za samodejno znižanje vrednosti v grafu tveganja. Dostopnost naprav obravnava ISO 13850:2015 v točkah 4.3.1–4.3.2.
[4] Dodatna zaščitna dejanja in osvoboditev človeka. ISO 13850:2015, področje uporabe ter točki 4.1.1.2 in 4.1.1.5: ohranjanje učinkovitosti drugih zaščitnih funkcij in možnost sprožitve drugih dejanj poleg same zaustavitve. Podrobne zahteve za ta dejanja niso v področju uporabe ISO 13850. ISO 12100:2010 v točkah 6.3.5.2–6.3.5.3 razlikuje med zaustavitvijo v sili ter sredstvi za osvoboditev in reševanje ujetih oseb.
[5] Ohranjanje druge zaščite in kategorije zaustavitve. ISO 13850:2015, točke 4.1.1.2, 4.1.1.4–4.1.1.5 in 4.1.3. Standard med drugim navaja osvoboditev oseb, gašenje požara ter morebitno potrebo po nadaljnjem delovanju elektromagnetnih prijemal ali zavor. Opis kategorij 0 in 1 ne pomeni zahteve po ločitvi celotne opreme od vseh virov energije.
[6] Eno človekovo dejanje, zaporedje in območja delovanja. ISO 13850:2015, točke 4.1.1.1, 4.1.1.5–4.1.1.6 in 4.1.2–4.1.2.1: pravilen odziv brez nadaljnjega posega za ustavitev nevarnih dejanj, možnost vnaprej določenega zaporedja, načrtovanje posledic uporabe naprave in pogoji delitve na območja.
[7] PL, SIL, vzdrževanje zaustavitve in ponastavitev. ISO 13850:2015, točka 4.1.5.1: uporaba ISO 13849-1 in/ali IEC 62061, najmanj PLr c ali SIL 1 ter dopustna souporaba elementov. Točki 4.1.1.2 in 4.1.4 obravnavata razpoložljivost funkcije, vzdrževanje zaustavitve in ponastavitev, ki ne sme sprožiti ponovnega zagona. Pri konkretni uporabi je treba upoštevati tudi ustrezne posebne zahteve, vključno z veljavnim standardom tipa C.
[8] Zahteve funkcije in validacija. ISO 13849-1:2023, poglavje 8 ter točke 10.1.1, 10.2 in 10.4.1: preverjanje doseženega PL, validacija z analizami in preskusi, preverjanje popolnosti ter skladnosti specifikacije in predhodna določitev načrta preskusov z pričakovanimi rezultati. Preglednica v članku je avtorski predlog organizacije informacij, ne celoten načrt validacije za vsak sistem.
[9] Pravni okvir Evropske unije. Direktiva 2006/42/ES — besedilo v zbirki EUR-Lex, Priloga I, točki 1.2.4.3–1.2.4.4, in Uredba (EU) 2023/1230 — besedilo v zbirki EUR-Lex, Priloga III, točki 1.2.4.3–1.2.4.4: dopolnilna vloga zaustavitve v sili, preprečevanje dodatnega tveganja, zaščitni gibi in ustavljanje povezane opreme, katere nadaljnje delovanje je lahko nevarno. Uredba se začne v glavnem uporabljati 20. januarja 2027; prehodne določbe in datume urejata člena 52 in 54. Samo sklicevanje na standard ne pomeni trditve o njegovi harmonizaciji s posameznim pravnim aktom.
Narava primerov in meje uporabe. Opisana delovna mesta, napajalni sistemi, dokumentacijski zapisi in izjave so modelni primeri. Ne opisujejo ugotovljene nezgode in niso navodila za reševanje pri konkretnem stroju. Razmik elementov, sprostitev pritiska in povratno gibanje zahtevajo ustrezno projektiranje ter presojo posledic. Članek obravnava vlogo in logiko funkcije, ne vseh zahtev ISO 13850; področje uporabe in izjeme določa prvo poglavje standarda.