System bezpieczeństwa maszyny nie jest pojedynczym czujnikiem, przekaźnikiem ani przyciskiem awaryjnym. To połączenie środków konstrukcyjnych, osłon, urządzeń ochronnych, układu sterowania, procedur oraz kompetencji ludzi. Jego zadaniem jest ograniczenie ryzyka przez cały cykl życia maszyny — od instalacji i produkcji po czyszczenie, konserwację i demontaż.
Po lekturze zrozumiesz, jak dobierać rozwiązania bezpieczeństwa, czym różnią się osłony od kurtyn świetlnych, kiedy stosować przekaźnik lub sterownik bezpieczeństwa, jak wyznacza się PL albo SIL oraz dlaczego sam znak CE nie wystarcza do potwierdzenia bezpieczeństwa stanowiska.
Czym są systemy bezpieczeństwa do maszyn?
Systemy bezpieczeństwa do maszyn to wszystkie rozwiązania techniczne i organizacyjne, których celem jest zapobieganie urazom, ograniczenie skutków awarii oraz zapewnienie bezpiecznego dostępu do maszyny.
W praktyce obejmują one między innymi:
- konstrukcję eliminującą lub ograniczającą zagrożenia,
- osłony stałe i ruchome,
- blokady i ryglowanie osłon,
- kurtyny i bariery świetlne,
- skanery laserowe,
- maty, listwy i zderzaki bezpieczeństwa,
- przyciski zatrzymania awaryjnego,
- sterowanie oburęczne,
- przekaźniki i sterowniki bezpieczeństwa,
- styczniki, zawory i napędy realizujące bezpieczne zatrzymanie,
- diagnostykę obwodów bezpieczeństwa,
- procedury odłączania i zabezpieczania energii,
- instrukcje, oznaczenia, szkolenia i okresowe kontrole.
System ochronny powinien działać jako łańcuch: wykryć niebezpieczne zdarzenie, przetworzyć sygnał i doprowadzić maszynę do określonego stanu bezpiecznego. Awaria jednego elementu nie może automatycznie oznaczać utraty całej funkcji bezpieczeństwa, jeżeli ocena ryzyka wymaga odporności na pojedyncze uszkodzenie.
Granice tematu
Bezpieczeństwo maszyn nie ogranicza się do instalacji elektrycznej. Należy uwzględnić również energię:
- mechaniczną,
- pneumatyczną,
- hydrauliczną,
- cieplną,
- elektryczną,
- grawitacyjną,
- chemiczną,
- promieniowania,
- zgromadzoną w sprężynach, akumulatorach i kondensatorach.
Zakres analizy obejmuje nie tylko normalną produkcję. Często największe ryzyko występuje podczas przezbrajania, usuwania zakleszczeń, regulacji, czyszczenia, konserwacji i ręcznego testowania maszyny.
Podstawowa zasada: bezpieczeństwo zaczyna się od oceny ryzyka
Dobór kurtyny, zamka czy sterownika bez wcześniejszej oceny ryzyka prowadzi do przypadkowych i często nieskutecznych zabezpieczeń. Najpierw trzeba ustalić, jakie zagrożenia występują, kto jest na nie narażony oraz w jakich fazach pracy.
Typowy proces obejmuje:
- Określenie granic maszyny i jej zamierzonego zastosowania.
- Uwzględnienie racjonalnie przewidywalnego niewłaściwego użycia.
- Identyfikację zagrożeń.
- Oszacowanie ryzyka.
- Dobór środków redukcji ryzyka.
- Ponowną ocenę ryzyka po zastosowaniu zabezpieczeń.
- Weryfikację i walidację funkcji bezpieczeństwa.
- Udokumentowanie wyników.
Zgodnie z hierarchią redukcji ryzyka pierwszeństwo mają:
- Rozwiązania bezpieczne same w sobie, na przykład zmniejszenie siły, prędkości lub dostępnej energii.
- Techniczne środki ochronne, takie jak osłony, blokady, kurtyny i bezpieczne sterowanie.
- Informacje dla użytkownika, instrukcje, oznaczenia, środki ochrony indywidualnej i szkolenia.
Ostrzeżenie lub instrukcja nie powinny zastępować osłony, jeżeli zagrożenie można racjonalnie ograniczyć technicznie.
Wymagania prawne i najważniejsze normy
W Unii Europejskiej odpowiedzialność zależy od roli podmiotu. Inne obowiązki ma producent wprowadzający maszynę do obrotu, inne integrator linii, a jeszcze inne pracodawca eksploatujący urządzenie.
Do 19 stycznia 2027 roku zasadniczym aktem dotyczącym wprowadzania maszyn na rynek pozostaje dyrektywa maszynowa 2006/42/WE. Od 20 stycznia 2027 roku zastosowanie będzie miało rozporządzenie UE 2023/1230 w sprawie maszyn. Rozporządzenie będzie stosowane bezpośrednio i mocniej akcentuje między innymi oprogramowanie, maszyny podlegające modyfikacjom oraz wpływ cyberbezpieczeństwa na funkcje bezpieczeństwa.
Użytkownik maszyny musi również zapewnić bezpieczne warunki pracy, odpowiedni stan techniczny urządzenia, kontrole, konserwację i organizację pracy. Deklaracja zgodności i oznakowanie CE nie zwalniają pracodawcy z tych obowiązków.
Najważniejsze normy wykorzystywane przy projektowaniu zabezpieczeń
Do kluczowych dokumentów technicznych należą:
- EN ISO 12100 — ocena ryzyka i ogólne zasady projektowania,
- EN ISO 13849-1 — projektowanie części systemów sterowania związanych z bezpieczeństwem,
- EN ISO 13849-2 — walidacja tych systemów,
- IEC 62061 — bezpieczeństwo funkcjonalne systemów sterowania maszyn,
- EN ISO 13850 — zatrzymanie awaryjne,
- EN ISO 14119 — urządzenia blokujące związane z osłonami,
- EN ISO 14120 — wymagania dotyczące osłon,
- EN ISO 13855 — pozycjonowanie urządzeń ochronnych względem stref zagrożenia,
- EN ISO 13857 — odległości bezpieczeństwa zapobiegające sięganiu kończynami,
- EN ISO 13854 — minimalne odstępy zapobiegające zgnieceniu,
- EN ISO 14118 — zapobieganie nieoczekiwanemu uruchomieniu,
- EN 60204-1 — wyposażenie elektryczne maszyn,
- EN IEC 61496 — elektroczułe wyposażenie ochronne,
- ISO 10218 i ISO/TS 15066 — bezpieczeństwo aplikacji robotycznych.
Normy typu C, odnoszące się do konkretnych rodzajów maszyn, mogą zawierać bardziej szczegółowe wymagania niż normy ogólne. Dlatego projektowanie zabezpieczeń należy rozpocząć od sprawdzenia, czy dla danej maszyny istnieje właściwa norma produktowa.
Osłony stałe i ruchome
Osłona tworzy fizyczną barierę pomiędzy człowiekiem a zagrożeniem. Jest zazwyczaj pierwszym wyborem tam, gdzie dostęp operatora nie jest potrzebny podczas normalnej pracy.
Osłony stałe
Osłony stałe są mocowane w sposób wymagający użycia narzędzi do ich demontażu. Sprawdzają się przy elementach, do których dostęp jest potrzebny rzadko, na przykład przy przekładniach, napędach pasowych, wałach i tylnych częściach linii.
Ich zalety to:
- prosta konstrukcja,
- wysoka odporność na uszkodzenia,
- brak elementów sterujących wymagających diagnostyki,
- ograniczenie dostępu, rozrzutu materiału i emisji.
Osłona musi mieć odpowiednią wytrzymałość, wielkość otworów i odległość od zagrożenia. Nie może tworzyć nowych punktów zgniecenia ani dawać się łatwo omijać.
Osłony ruchome z blokadą
Jeżeli dostęp jest częsty, stosuje się drzwi, klapy lub pokrywy wyposażone w wyłącznik bezpieczeństwa. Otwarcie osłony powoduje zatrzymanie albo uniemożliwia uruchomienie niebezpiecznej funkcji.
Sama blokada wystarcza wtedy, gdy maszyna zatrzyma się, zanim człowiek dotrze do zagrożenia. Jeżeli ruch niebezpieczny trwa dłużej, potrzebne może być ryglowanie osłony do czasu osiągnięcia stanu bezpiecznego.
Kiedy potrzebne jest ryglowanie?
Ryglowanie jest zasadne między innymi wtedy, gdy:
- występuje długi dobieg,
- wewnątrz pozostaje niebezpieczne ciśnienie lub temperatura,
- proces nie może zostać natychmiast zatrzymany,
- otwarcie osłony mogłoby spowodować wyrzut materiału,
- operator może dotrzeć do zagrożenia przed jego ustaniem.
Nie należy mylić ryglowania procesowego z ryglowaniem realizującym funkcję bezpieczeństwa. Zamek używany wyłącznie po to, by uniknąć przerwania cyklu, nie musi zapewniać ochrony wymaganej przez ocenę ryzyka.
Kurtyny, bariery świetlne i urządzenia optoelektroniczne
Kurtyna bezpieczeństwa tworzy niewidzialne pole ochronne. Przerwanie wiązek generuje sygnał zatrzymania. Rozwiązanie umożliwia szybki dostęp do procesu bez ręcznego otwierania osłony.
Kurtyny stosuje się między innymi przy:
- prasach i stanowiskach montażowych,
- zrobotyzowanych gniazdach,
- podawaniu i odbieraniu detali,
- wejściach do linii automatycznych,
- paletyzacji i transporcie materiałów.
Nie jest to jednak zabezpieczenie uniwersalne. Kurtyna nie chroni przed wyrzutem części, iskrami, promieniowaniem, odpryskami ani gorącym materiałem. W takich przypadkach może być konieczna osłona fizyczna.
Rozdzielczość kurtyny
Rozdzielczość określa najmniejszy obiekt, który urządzenie powinno niezawodnie wykryć. W praktyce spotyka się rozwiązania przeznaczone do ochrony:
- palców,
- dłoni,
- całego ciała,
- dostępu do strefy.
Im mniejsza rozdzielczość, tym bliżej zagrożenia można zwykle ustawić pole ochronne. Ostateczna odległość zależy jednak także od czasu zatrzymania maszyny i czasu reakcji całego systemu.
Muting, blanking i restart
Muting pozwala czasowo zawiesić działanie pola ochronnego, na przykład podczas automatycznego przejazdu palety. Musi odróżniać materiał od człowieka, mieć ograniczony czas i prawidłową sekwencję aktywacji.
Blanking umożliwia wyłączenie wybranych wiązek, gdy stały lub kontrolowany element przecina pole kurtyny. Niewłaściwe ustawienie może powiększyć niewykrywaną przestrzeń.
Po przerwaniu pola ochronnego nie zawsze można dopuścić automatyczny restart. Jeżeli człowiek może wejść za kurtynę i pozostać niewidoczny, potrzebne są dodatkowe środki, takie jak:
- ręczny reset z miejsca zapewniającego widoczność strefy,
- skanowanie obecności wewnątrz strefy,
- blokada ponownego uruchomienia,
- procedura wejścia z osobistym zabezpieczeniem,
- rozwiązanie typu trapped key.
Skanery laserowe, maty, listwy i zderzaki bezpieczeństwa
Skanery laserowe
Skaner bezpieczeństwa nadzoruje konfigurowalne pole wokół maszyny lub pojazdu. Może tworzyć pole ostrzegawcze i ochronne, a także zmieniać ich kształt zależnie od trybu pracy lub kierunku ruchu.
Skanery są używane przy:
- robotach mobilnych i pojazdach AGV/AMR,
- stanowiskach zrobotyzowanych,
- maszynach wymagających otwartego dostępu,
- ochronie poziomej przed wejściem,
- kontroli obecności wewnątrz strefy.
Na skuteczność wpływają geometria obiektu, odbicia, zabrudzenia, zasłonięcia pola i warunki środowiskowe. Martwe strefy oraz możliwość przejścia nad lub pod polem muszą zostać ocenione podczas walidacji.
Maty bezpieczeństwa
Mata wykrywa nacisk wywierany przez osobę. Może chronić obszar przed maszyną lub służyć do kontroli obecności wewnątrz wygrodzenia.
Należy uwzględnić:
- minimalną wykrywaną masę,
- rozmiar aktywnego obszaru,
- martwe krawędzie,
- zużycie mechaniczne,
- działanie oleju, wody i zabrudzeń,
- możliwość przeskoczenia lub ominięcia maty.
Listwy i zderzaki
Listwy bezpieczeństwa montuje się na ruchomych krawędziach, drzwiach i elementach mogących przygnieść człowieka. Zderzaki są stosowane tam, gdzie potrzebna jest większa powierzchnia wykrywania kontaktu.
Są to zabezpieczenia kontaktowe. Zadziałają dopiero po dotknięciu człowieka lub przeszkody, dlatego trzeba ograniczyć dopuszczalną siłę, prędkość, energię i drogę zatrzymania.
Przyciski zatrzymania awaryjnego
Zatrzymanie awaryjne umożliwia człowiekowi szybkie przerwanie niebezpiecznej sytuacji. Charakterystyczny element wykonawczy ma zwykle czerwony kolor i żółte tło.
Przycisk awaryjny:
- powinien być łatwo dostępny,
- musi pozostawać zablokowany po użyciu,
- wymaga świadomego odblokowania,
- nie może samoczynnie uruchamiać maszyny po odblokowaniu,
- powinien zatrzymywać właściwe niebezpieczne funkcje.
Zatrzymanie awaryjne jest środkiem uzupełniającym. Nie zastępuje osłon, blokad, kurtyn ani bezpiecznego projektu. Nie chroni też osoby, która nie zdąży lub nie może nacisnąć przycisku.
Kategorie zatrzymania
W wyposażeniu elektrycznym maszyn wyróżnia się trzy kategorie zatrzymania:
- Kategoria 0 — zatrzymanie przez natychmiastowe odłączenie energii od elementów wykonawczych.
- Kategoria 1 — zatrzymanie kontrolowane, a następnie odłączenie energii.
- Kategoria 2 — zatrzymanie kontrolowane z pozostawieniem energii w elementach wykonawczych.
Dla zatrzymania awaryjnego stosuje się zasadniczo kategorię 0 albo 1, zależnie od oceny ryzyka. Natychmiastowe odcięcie energii nie zawsze jest najbezpieczniejsze. Może spowodować upadek ładunku, utratę hamowania lub niekontrolowany ruch osi.
Sterowanie oburęczne i urządzenia zezwalające
Sterowanie oburęczne wymaga jednoczesnego użycia obu rąk do zainicjowania lub podtrzymania niebezpiecznego ruchu. Ma utrzymywać ręce operatora poza strefą zagrożenia.
Skuteczność zależy od:
- odpowiedniej odległości od zagrożenia,
- synchronizacji przycisków,
- zapobiegania blokowaniu elementów sterowniczych,
- konieczności zwolnienia obu przycisków przed następnym cyklem,
- ochrony przed użyciem jedną ręką i inną częścią ciała.
Rozwiązanie chroni przede wszystkim osobę obsługującą przyciski. Nie zabezpiecza automatycznie innych pracowników znajdujących się obok maszyny.
Urządzenia zezwalające, często trójpołożeniowe, wykorzystuje się podczas ustawiania, uczenia robotów i pracy w trybach specjalnych. Funkcja jest aktywna tylko przy świadomym utrzymywaniu elementu w położeniu środkowym. Zarówno puszczenie, jak i silne ściśnięcie powinno wywołać reakcję bezpieczną.
Przekaźniki i sterowniki bezpieczeństwa
Sygnały z kurtyn, zamków, przycisków awaryjnych i innych urządzeń muszą zostać przetworzone przez układ sterowania związany z bezpieczeństwem.
Przekaźnik bezpieczeństwa
Przekaźnik bezpieczeństwa sprawdza się w prostych aplikacjach z niewielką liczbą funkcji. Może nadzorować kanały wejściowe, zwarcia, styczniki wyjściowe i reset.
Jego zalety to:
- prosta konfiguracja,
- szybkie uruchomienie,
- łatwa diagnostyka niewielkiego obwodu,
- brak rozbudowanego programu.
Wadą może być rosnąca liczba przewodów i modułów, gdy maszyna ma wiele stref, trybów i zależności.
Programowalny sterownik bezpieczeństwa
Sterownik bezpieczeństwa, nazywany również safety PLC, pozwala realizować wiele funkcji, stref oraz zależności logicznych. Ułatwia diagnostykę, komunikację i rozbudowę linii.
Stosuje się go między innymi, gdy występują:
- liczne drzwi i urządzenia ochronne,
- kilka niezależnych stref zatrzymania,
- roboty i napędy z funkcjami bezpiecznymi,
- muting i sekwencje dostępu,
- rozproszone wejścia i wyjścia,
- częste zmiany formatu,
- potrzeba dokładnej diagnostyki.
Programowalność nie oznacza automatycznie wyższego poziomu bezpieczeństwa. Program, konfiguracja sprzętowa, komunikacja, czasy reakcji i funkcje diagnostyczne muszą zostać zweryfikowane i zwalidowane.
Wyjścia bezpieczeństwa
Ostateczną reakcję mogą realizować:
- styczniki,
- zawory odcinające i odpowietrzające,
- hamulce,
- falowniki i serwonapędy,
- moduły odłączenia momentu,
- układy mechanicznego podparcia.
Ważne jest nie tylko wydanie polecenia, lecz także potwierdzenie jego wykonania. Sklejony stycznik, zablokowany zawór lub niesprawny hamulec mogą uniemożliwić osiągnięcie stanu bezpiecznego.
Bezpieczne funkcje napędów
Nowoczesne napędy mogą realizować bezpieczeństwo bez całkowitego odłączania zasilania. Ułatwia to diagnostykę, skraca ponowne uruchomienie i pozwala bezpieczniej wykonywać regulacje.
Najczęściej spotykane funkcje to:
- STO — bezpieczne wyłączenie momentu,
- SS1 — bezpieczne zatrzymanie 1,
- SS2 — bezpieczne zatrzymanie 2,
- SOS — bezpieczne zatrzymanie robocze,
- SLS — bezpiecznie ograniczona prędkość,
- SSM — bezpieczne monitorowanie prędkości,
- SDI — bezpieczny kierunek ruchu,
- SBC — bezpieczne sterowanie hamulcem,
- SLT — bezpiecznie ograniczony moment.
STO zapobiega wytwarzaniu momentu przez napęd, ale nie musi zapewniać fizycznego odłączenia zasilania ani zatrzymania ruchu wynikającego z bezwładności lub grawitacji. Przy osi pionowej może być potrzebny hamulec, przeciwwaga lub blokada mechaniczna.
PL, SIL i architektura funkcji bezpieczeństwa
Każda funkcja bezpieczeństwa powinna mieć określony wymagany poziom niezawodności. W praktyce maszynowej stosuje się przede wszystkim Performance Level według EN ISO 13849-1 albo Safety Integrity Level według IEC 62061.
Performance Level
Poziomy PL oznacza się literami od „a” do „e”. PL a odpowiada najniższemu, a PL e najwyższemu poziomowi redukcji ryzyka w tym modelu.
Na osiągnięty PL wpływają między innymi:
- architektura systemu,
- niezawodność elementów,
- pokrycie diagnostyczne,
- odporność na uszkodzenia o wspólnej przyczynie,
- oprogramowanie,
- liczba operacji i czas użytkowania,
- jakość procesu projektowania i walidacji.
Kategorie B, 1, 2, 3 i 4 opisują cechy architektury. Nie należy jednak utożsamiać kategorii bezpośrednio z konkretnym PL. Osiągnięty wynik zależy również od parametrów niezawodności i diagnostyki.
Safety Integrity Level
W zastosowaniach maszynowych IEC 62061 wykorzystuje poziomy SIL 1, SIL 2 i SIL 3. Wyższy SIL oznacza niższe dopuszczalne prawdopodobieństwo niebezpiecznej awarii funkcji.
PL i SIL nie są nazwami urządzeń. Dotyczą kompletnej funkcji bezpieczeństwa, obejmującej:
- Czujnik lub urządzenie wejściowe.
- Logikę bezpieczeństwa.
- Element wykonawczy.
- Połączenia i zasilanie.
- Oprogramowanie i parametry.
- Reakcję procesu.
Kurtyna o wysokich parametrach nie zapewni wymaganego poziomu, jeżeli sygnał zostanie przetworzony przez nieodpowiedni układ albo pojedynczy stycznik bez diagnostyki.
Odległość bezpieczeństwa i czas zatrzymania
Urządzenie bezkontaktowe musi być ustawione na tyle daleko od zagrożenia, aby maszyna zatrzymała się przed dotarciem człowieka do niebezpiecznego miejsca.
W uproszczeniu stosuje się zależność:
S = K × T + C
gdzie:
- S to minimalna odległość bezpieczeństwa,
- K to przyjęta prędkość zbliżania się człowieka,
- T to całkowity czas reakcji i zatrzymania,
- C to dodatkowa odległość zależna między innymi od sposobu sięgania i rozdzielczości urządzenia.
Do czasu T należy wliczyć nie tylko czas reakcji kurtyny. Obejmuje on również:
- komunikację,
- sterownik bezpieczeństwa,
- elementy wyjściowe,
- napęd lub zawór,
- mechaniczną drogę hamowania,
- tolerancję pomiaru,
- pogorszenie parametrów hamulca.
Odległości nie powinno się wyznaczać na podstawie deklarowanego czasu napędu, jeżeli rzeczywisty czas zatrzymania całej maszyny może zostać zmierzony. Pomiar należy wykonywać dla warunków najmniej korzystnych i powtarzać okresowo, szczególnie gdy zużycie hamulca wpływa na dobieg.
Bezpieczny dostęp, reset i zapobieganie nieoczekiwanemu uruchomieniu
Po otwarciu osłony lub naruszeniu pola ochronnego maszyna nie powinna samoczynnie wrócić do niebezpiecznej pracy.
Reset funkcji bezpieczeństwa:
- powinien być działaniem świadomym,
- nie może sam uruchamiać niebezpiecznego ruchu,
- powinien być możliwy dopiero po ustaniu przyczyny zatrzymania,
- powinien znajdować się poza strefą zagrożenia,
- nie powinien być dostępny dla osoby pozostającej wewnątrz strefy,
- powinien zapewniać widoczność chronionego obszaru lub współpracować z dodatkowymi środkami.
Jeżeli cała strefa nie jest widoczna, stosuje się na przykład reset wieloetapowy, kontrolę obecności, zamki transferowe, osobiste kłódki albo procedurę potwierdzania opuszczenia strefy.
LOTO i izolowanie energii
Zwykłe zatrzymanie przyciskiem nie jest równoznaczne z bezpiecznym odłączeniem energii. Podczas konserwacji i usuwania awarii potrzebne może być rozwiązanie Lockout/Tagout, czyli:
- Identyfikacja wszystkich źródeł energii.
- Zatrzymanie maszyny.
- Odłączenie energii.
- Zablokowanie urządzeń odłączających.
- Rozładowanie energii resztkowej.
- Sprawdzenie skuteczności izolacji.
- Wykonanie pracy.
- Kontrolowane przywrócenie zasilania.
Dotyczy to również energii pneumatycznej, hydraulicznej, grawitacyjnej i cieplnej. Zamknięcie zaworu nie zawsze usuwa ciśnienie pozostające za zaworem.
Roboty przemysłowe i współpracujące
Robot współpracujący nie jest z definicji bezpiecznym stanowiskiem. O bezpieczeństwie decyduje kompletna aplikacja: robot, chwytak, detal, prędkość, trajektoria, otoczenie i przewidywany kontakt z człowiekiem.
W aplikacjach współpracujących wykorzystuje się między innymi:
- bezpieczne monitorowanie zatrzymania,
- prowadzenie ręczne,
- monitorowanie prędkości i odległości,
- ograniczenie mocy i siły.
Ostry detal trzymany przez cobota może powodować ryzyko nawet przy niewielkiej prędkości. Podobnie chwytak, paleta, ściana lub element konstrukcji mogą utworzyć punkt zgniecenia.
Dla trybu monitorowania odległości trzeba uwzględnić czas reakcji człowieka i robota, drogę hamowania, dokładność systemu lokalizacji oraz możliwość niespodziewanego ruchu innych osi.
Modernizacja i integracja maszyn
Dodanie kurtyny lub nowego sterownika nie zawsze jest prostą wymianą komponentu. Modernizacja może zmienić sposób działania, wydajność, zakres zastosowania i profil ryzyka maszyny.
Przed zmianą należy ustalić:
- kto odpowiada za projekt,
- czy zmienia się przeznaczenie maszyny,
- czy powstają nowe zagrożenia,
- czy zmiana ingeruje w funkcje bezpieczeństwa,
- czy maszyna zostaje połączona z innymi urządzeniami,
- kto waliduje nowe oprogramowanie,
- czy dokumentacja, schematy i instrukcje zostaną zaktualizowane,
- czy zmiana może zostać uznana za istotną modyfikację.
Połączenie kilku maszyn przenośnikami i wspólnym sterowaniem może stworzyć zespół maszyn. Wtedy trzeba przeanalizować nie tylko poszczególne urządzenia, ale również interfejsy, transport materiału, wspólne zatrzymania i dostęp pomiędzy strefami.
Walidacja i okresowe testy
Walidacja odpowiada na pytanie, czy zastosowane rozwiązanie rzeczywiście realizuje założoną funkcję bezpieczeństwa i osiąga wymagany poziom.
Powinna obejmować:
- analizę dokumentacji,
- sprawdzenie schematów,
- kontrolę zastosowanych komponentów,
- testy funkcjonalne,
- próby pojedynczych uszkodzeń,
- sprawdzenie diagnostyki,
- pomiar czasu zatrzymania,
- kontrolę odległości bezpieczeństwa,
- ocenę możliwości obejścia zabezpieczeń,
- weryfikację trybów pracy i resetu,
- potwierdzenie parametrów programu.
Test „maszyna zatrzymała się po otwarciu drzwi” nie jest pełną walidacją. Trzeba również sprawdzić na przykład zwarcie między kanałami, uszkodzenie stycznika, utratę komunikacji, przerwę w przewodzie oraz zachowanie po powrocie zasilania.
Częstotliwość późniejszych kontroli powinna wynikać z oceny ryzyka, intensywności użycia, warunków środowiskowych, zaleceń producenta i wymagań właściwych dla danej maszyny.
Cyberbezpieczeństwo a bezpieczeństwo funkcjonalne
Jeżeli sieć, zdalny dostęp lub oprogramowanie mogą zmienić parametry związane z bezpieczeństwem, cyberbezpieczeństwo staje się częścią analizy ryzyka.
Należy kontrolować między innymi:
- uprawnienia użytkowników,
- możliwość zmiany programu i parametrów,
- zdalny dostęp serwisowy,
- kopie zapasowe,
- wersje oprogramowania,
- integralność konfiguracji,
- segmentację sieci,
- rejestrowanie zmian,
- bezpieczne aktualizacje.
Standardowy sterownik PLC, system nadrzędny lub panel operatorski nie powinny mieć możliwości niekontrolowanego nadpisania funkcji bezpieczeństwa. Komunikaty diagnostyczne mogą być przesyłane do zwykłego systemu sterowania, ale decyzje bezpieczeństwa muszą być realizowane w odpowiedniej architekturze.
Tabela decyzyjna: jakie zabezpieczenie wybrać?
| Sytuacja | Preferowane rozwiązanie | Rozwiązania uzupełniające | Główne ograniczenie |
|---|---|---|---|
| Dostęp do zagrożenia nie jest potrzebny podczas pracy | Osłona stała | Oznaczenia, kontrola mocowania | Konieczność demontażu do serwisu |
| Częsty dostęp, krótki czas zatrzymania | Osłona ruchoma z blokadą | Reset ręczny, diagnostyka zamka | Możliwość dotarcia do zagrożenia przed zatrzymaniem |
| Częsty dostęp, długi dobieg | Osłona z ryglowaniem | Kontrola bezpiecznego zatrzymania | Konieczność bezpiecznego zwolnienia zamka |
| Otwarty dostęp rękami do procesu | Kurtyna świetlna | Osłony boczne, reset, pomiar dobiegu | Brak ochrony przed wyrzutem materiału |
| Ochrona wejścia całego ciała | Bariera świetlna lub skaner | Blokada restartu, kontrola obecności | Możliwość pozostania niewykrytym za polem |
| Zmienna lub nieregularna strefa | Skaner bezpieczeństwa | Pola ostrzegawcze, kontrola prędkości | Martwe strefy i wpływ otoczenia |
| Operator musi stać w określonym miejscu | Mata bezpieczeństwa | Osłony, reset ręczny | Zużycie i możliwość ominięcia |
| Ruchoma krawędź może uderzyć człowieka | Listwa lub zderzak bezpieczeństwa | Ograniczenie siły i prędkości | Reakcja następuje po kontakcie |
| Prosta maszyna z kilkoma funkcjami | Przekaźnik bezpieczeństwa | Styczniki z kontrolą sprzężenia | Mała elastyczność przy rozbudowie |
| Linia z wieloma strefami i trybami | Sterownik bezpieczeństwa | Rozproszone I/O, bezpieczna komunikacja | Konieczność zarządzania programem i walidacją |
| Regulacja przy otwartej osłonie | Urządzenie zezwalające i bezpieczna prędkość | Ograniczenie ruchu, wybór trybu kluczem | Wymaga szczegółowej analizy scenariusza |
| Serwis wewnątrz maszyny | Izolacja energii i LOTO | Blokady mechaniczne, odpowietrzanie | Samo zatrzymanie sterownicze nie wystarcza |
| Oś pionowa lub zawieszony ładunek | Hamulec, blokada mechaniczna, kontrola ruchu | STO, SBC, podparcie | Samo wyłączenie momentu nie zapobiega opadaniu |
| Robot współpracujący z człowiekiem | Ograniczenie siły albo monitorowanie odległości | Skaner, bezpieczne funkcje napędu | Bezpieczeństwo zależy od całej aplikacji |
Najczęstsze błędy przy projektowaniu zabezpieczeń
Dobór urządzeń przed oceną ryzyka
Kupienie sterownika lub kurtyny nie określa, jakie funkcje bezpieczeństwa są potrzebne. Wymagania powinny wynikać ze scenariuszy zagrożeń.
Traktowanie zatrzymania awaryjnego jako podstawowej ochrony
Przycisk awaryjny wymaga reakcji człowieka. Nie zapobiega automatycznie wejściu do strefy ani nie wykrywa obecności.
Jeden zwykły wyłącznik krańcowy jako zabezpieczenie drzwi
Standardowy czujnik może nie zapewniać wymaganej odporności na uszkodzenia i manipulację. Znaczenie mają sposób działania, montaż, diagnostyka i architektura obwodu.
Automatyczny restart po zamknięciu osłony
Zamknięcie drzwi nie powinno samo uruchamiać niebezpiecznego cyklu, jeżeli wewnątrz może znajdować się człowiek.
Nieuwzględnianie elementów wykonawczych
Często analizuje się wejścia i sterownik, a pomija styczniki, zawory, hamulce oraz mechanikę. Tymczasem to one fizycznie zatrzymują energię.
Kopiowanie poziomu PL lub SIL z innej maszyny
Wymagany poziom zależy od konkretnego ryzyka. Dwie podobne maszyny mogą różnić się energią, częstotliwością dostępu i możliwością uniknięcia urazu.
Brak pomiaru czasu zatrzymania
Odległość kurtyny obliczona na podstawie założeń może być niewystarczająca po zużyciu hamulca albo zmianie prędkości procesu.
Łączenie standardowych i bezpiecznych sygnałów bez analizy
Informacja z panelu HMI lub zwykłego PLC nie staje się sygnałem bezpieczeństwa tylko dlatego, że została wykorzystana w programie safety PLC.
Ułatwianie obchodzenia zabezpieczeń
Źle dobrane zamki, łatwo dostępne aktywatory i uciążliwe procedury zwiększają motywację do manipulacji. Bezpieczeństwo powinno być zgodne z rzeczywistym sposobem pracy, a nie tylko z cyklem nominalnym.
Mity dotyczące bezpieczeństwa maszyn
„Maszyna ma CE, więc stanowisko jest bezpieczne”
CE dotyczy zgodności produktu wprowadzanego do obrotu. Nie potwierdza automatycznie bezpieczeństwa sposobu instalacji, integracji, użytkowania i późniejszych modyfikacji.
„Sterownik bezpieczeństwa rozwiązuje każdy problem”
Sterownik nie usunie ostrych krawędzi, nie skróci mechanicznego dobiegu i nie zatrzyma opadającego ładunku bez odpowiedniego elementu wykonawczego.
„Dwa kanały zawsze oznaczają najwyższy poziom bezpieczeństwa”
Dwa kanały mogą ulec wspólnej awarii albo nie być właściwie diagnozowane. Znaczenie mają architektura, parametry elementów, diagnostyka oraz sposób prowadzenia przewodów.
„Odcięcie zasilania jest zawsze najbezpieczniejsze”
Nagła utrata energii może spowodować upadek, utratę hamowania lub niekontrolowane opróżnienie procesu. Czasem bezpieczniejsze jest zatrzymanie kontrolowane, a dopiero później odłączenie energii.
„Cobot nie potrzebuje wygrodzenia”
Robot współpracujący może wymagać skanera, osłon albo pracy z ograniczoną prędkością. Decydują parametry całej aplikacji, w tym chwytak i przenoszony detal.
„Wystarczy przetestować funkcję jeden raz”
Zużycie, zmiany programu, wymiana komponentów i modyfikacje procesu mogą obniżyć skuteczność zabezpieczeń. Potrzebne są kontrole okresowe i zarządzanie zmianą.
Liczby i statystyki, które pomagają ocenić skalę problemu
W 2022 roku w Unii Europejskiej odnotowano około 2,97 mln wypadków przy pracy powodujących co najmniej cztery dni nieobecności oraz ponad 3,2 tys. wypadków śmiertelnych. Dane obejmują wszystkie branże i nie odnoszą się wyłącznie do maszyn, ale pokazują skalę ryzyka zawodowego.
W Polsce w 2023 roku zgłoszono ponad 68 tys. osób poszkodowanych w wypadkach przy pracy, w tym ponad 160 ofiar śmiertelnych. Również w tym przypadku statystyka obejmuje różne przyczyny i rodzaje zdarzeń.
W projektowaniu bezpieczeństwa znaczenie mają także następujące liczby:
- 5 poziomów Performance Level: PL a, b, c, d i e,
- 5 kategorii architektury według EN ISO 13849-1: B, 1, 2, 3 i 4,
- 3 poziomy SIL stosowane w bezpieczeństwie maszyn: SIL 1, 2 i 3,
- 3 kategorie zatrzymania: 0, 1 i 2,
- 3 etapy hierarchii redukcji ryzyka: konstrukcja, środki ochronne, informacje dla użytkownika,
- 2 podstawowe modele projektowania bezpieczeństwa funkcjonalnego: PL oraz SIL,
- 20 stycznia 2027 roku — data rozpoczęcia stosowania unijnego rozporządzenia 2023/1230.
Orientacyjne zakresy średniego prawdopodobieństwa niebezpiecznej awarii na godzinę dla PL wynoszą:
| Poziom | Zakres PFHd |
|---|---|
| PL a | od 10⁻⁵ do poniżej 10⁻⁴ |
| PL b | od 3 × 10⁻⁶ do poniżej 10⁻⁵ |
| PL c | od 10⁻⁶ do poniżej 3 × 10⁻⁶ |
| PL d | od 10⁻⁷ do poniżej 10⁻⁶ |
| PL e | od 10⁻⁸ do poniżej 10⁻⁷ |
Są to parametry probabilistyczne, a nie prognoza rzeczywistej liczby wypadków. Nie można ich interpretować jako gwarancji, że awaria wystąpi dopiero po określonej liczbie godzin.
Jak przeprowadzić dobór systemu bezpieczeństwa krok po kroku?
- Zdefiniuj granice maszyny i wszystkie tryby pracy.
- Zidentyfikuj osoby mogące mieć kontakt z maszyną.
- Opisz zagrożenia i możliwe skutki.
- Uwzględnij produkcję, przezbrojenie, czyszczenie, awarie i serwis.
- Sprawdź normę typu C dla danej maszyny.
- Ogranicz ryzyko konstrukcyjnie, jeśli jest to możliwe.
- Zdefiniuj funkcje bezpieczeństwa i wymagany PLr albo SIL.
- Dobierz wejścia, logikę i elementy wykonawcze.
- Oblicz osiągnięty poziom bezpieczeństwa.
- Wyznacz odległości i zmierz czas zatrzymania.
- Zaprojektuj reset, tryby pracy i reakcję na błędy.
- Ogranicz możliwość obejścia zabezpieczeń.
- Przeprowadź weryfikację i walidację.
- Zaktualizuj schematy, instrukcje i ocenę ryzyka.
- Ustal harmonogram testów okresowych.
Tematy powiązane do rozwinięcia
Strona dotycząca systemów bezpieczeństwa może pełnić funkcję huba dla bardziej szczegółowych materiałów:
- Ocena ryzyka maszyny krok po kroku.
- Jak wyznaczyć wymagany Performance Level PLr?
- PL a–e i kategorie B–4 w praktyce.
- SIL a PL — różnice i zasady wyboru.
- Jak obliczyć odległość kurtyny bezpieczeństwa?
- Kurtyna czy osłona — porównanie rozwiązań.
- Dobór zamka i ryglowania osłony.
- Walidacja systemów sterowania według EN ISO 13849-2.
- Pomiar czasu zatrzymania maszyny.
- Zatrzymanie awaryjne — wymagania i najczęstsze błędy.
- Bezpieczne funkcje napędów: STO, SS1, SLS i SBC.
- LOTO i bezpieczne odłączanie energii.
- Bezpieczeństwo robotów przemysłowych i cobotów.
- Modernizacja maszyny a ponowna ocena zgodności.
- Cyberbezpieczeństwo w systemach safety PLC.
FAQ
Czy każda maszyna musi mieć przycisk zatrzymania awaryjnego?
Nie zawsze. Potrzeba zastosowania zatrzymania awaryjnego wynika z oceny ryzyka i wymagań dotyczących danego rodzaju maszyny. Nie należy go stosować bezrefleksyjnie, jeśli nie zmniejsza ryzyka albo jego użycie mogłoby zwiększyć zagrożenie.
Czy zwykły PLC może realizować funkcję bezpieczeństwa?
Standardowy PLC może sterować procesem, ale zasadniczo nie powinien samodzielnie realizować funkcji wymagającej określonego PL lub SIL. Wyjątkiem może być specjalnie zaprojektowana architektura, której zgodność i niezawodność zostaną odpowiednio wykazane. W praktyce stosuje się przekaźniki, sterowniki i systemy napędowe przeznaczone do funkcji bezpieczeństwa.
Czym różni się przekaźnik bezpieczeństwa od zwykłego przekaźnika?
Przekaźnik bezpieczeństwa jest przeznaczony do monitorowania funkcji ochronnych. Może wykrywać niespójność kanałów, zwarcia, brak resetu oraz uszkodzenie elementów wyjściowych. Zwykły przekaźnik nie zapewnia automatycznie takiej diagnostyki ani odpowiedniej architektury.
Czy otwarcie osłony musi natychmiast odłączyć zasilanie?
Nie zawsze. Wymagana jest reakcja prowadząca do stanu bezpiecznego. Może to być zatrzymanie kontrolowane, odłączenie momentu, ograniczenie prędkości lub inna reakcja wynikająca z oceny ryzyka.
Kiedy stosować zamek z ryglowaniem?
Gdy człowiek może otworzyć osłonę i dotrzeć do zagrożenia, zanim niebezpieczny ruch lub proces całkowicie ustanie. Ryglowanie stosuje się również wtedy, gdy przedwczesne otwarcie może wywołać inne zagrożenie.
Czy kurtyna świetlna może zastąpić każdą osłonę?
Nie. Kurtyna wykrywa wejście, ale nie zatrzymuje wyrzucanych części, iskier, cieczy, promieniowania ani gorących materiałów. W takich sytuacjach potrzebna jest osłona fizyczna lub połączenie kilku środków.
Jak często testować zabezpieczenia?
Częstotliwość powinna wynikać z oceny ryzyka, zaleceń producenta, intensywności pracy i warunków środowiskowych. Kontrola jest potrzebna także po awarii, zmianie programu, wymianie komponentu, relokacji lub modernizacji maszyny.
Kto może przeprowadzić walidację?
Powinna ją wykonywać osoba lub zespół posiadający kompetencje w zakresie oceny ryzyka, automatyki, elektryki, mechaniki i odpowiednich norm. Wskazana jest niezależność od osoby, która samodzielnie zaprojektowała rozwiązanie, szczególnie przy funkcjach o wysokim wymaganym poziomie bezpieczeństwa.
Czy po wymianie starego sterownika trzeba ponownie walidować maszynę?
Jeżeli zmiana dotyczy funkcji bezpieczeństwa, logiki, czasów reakcji, komunikacji lub elementów wykonawczych, odpowiedni zakres ponownej walidacji jest konieczny. Zakres powinien odpowiadać wpływowi zmiany na ryzyko.
Czy STO jest tym samym co odłączenie zasilania?
Nie. STO zapobiega wytwarzaniu momentu przez napęd, ale w jego obwodach może nadal występować napięcie. Funkcja nie zastępuje izolacji energii wymaganej podczas prac elektrycznych i nie zawsze zapobiega ruchowi pod wpływem grawitacji.
Czy po zamknięciu drzwi maszyna może uruchomić się automatycznie?
Tylko wtedy, gdy ocena ryzyka i właściwe wymagania dopuszczają takie zachowanie oraz nie może ono narazić człowieka. W wielu aplikacjach zamknięcie osłony powinno jedynie umożliwić osobny reset i świadome uruchomienie.
Czy dwa styczniki są zawsze wymagane?
Nie zawsze. Ich liczba i sposób monitorowania wynikają z wymaganej architektury, poziomu PL lub SIL oraz parametrów elementów. Dwa styczniki nie gwarantują bezpieczeństwa, jeśli mogą ulec wspólnej awarii albo nie są diagnozowane.
Kto odpowiada za bezpieczeństwo po połączeniu kilku maszyn?
Odpowiedzialność zależy od zakresu prac i relacji umownych. Podmiot tworzący zintegrowany zespół może przejąć obowiązki producenta całości. Pracodawca pozostaje odpowiedzialny za bezpieczne użytkowanie stanowiska i organizację pracy.
Od czego zacząć modernizację starej maszyny?
Od inwentaryzacji, oceny ryzyka i sprawdzenia dokumentacji. Dopiero później należy definiować funkcje bezpieczeństwa i dobierać komponenty. Wymiana sterownika bez analizy mechaniki, pneumatyki i sposobu pracy może pozostawić najważniejsze zagrożenia bez kontroli.
8 comments