Przegląd programu bezpieczeństwa – przykład

Wynik w jednej minucie

Maszyna miała komplet zabezpieczeń: ogrodzenie, rygle, kurtyny, sterownik bezpieczeństwa. Mimo to program pozwalał je ominąć.

Osłony wyłączane programem

Kurtyny nie działały w trybie ręcznym, a furtki przy zatrzymanej linii. Decydowały o tym bity zwykłego programu, nie sygnały bezpieczeństwa.

Czujniki ślepe na własną awarię

Dziesięć furtek i jeden wyłącznik awaryjny podłączono zestykami zwiernymi. Przerwany przewód wyglądał dla programu jak „wszystko w porządku”.

Noże poza obwodem bezpieczeństwa

Styczniki bezpieczeństwa odłączały hydraulikę, ale nie napęd noży krążkowych. Zatrzymanie noży zależało tylko od zwykłego programu.

Co sprawdziliśmy

37bloków programu, ok. 460 sieci

551zmiennych z tablicy sterownika

1blok bezpieczeństwa F, sieć po sieci

1schemat elektryczny, porównany z programem

Co zakład dostał

01
Wykaz usterek — opis, skutek, wymaganie i sposób usunięcia każdej z 11 usterek
02
Plan poprawek — etap 1 w programie, etap 2 w okablowaniu, z zestawieniem materiałów
03
Poprawiony program — etap 1 gotowy i skompilowany w kopii projektu
04
Protokół walidacji — 17 testów do wykonania po wgraniu zmian
05
Instrukcja sprawdzania — 13 stron: testy codzienne, miesięczne i roczne z protokołem

Zestawienie usterek

Każda usterka ma numer, istotność i przypisany etap poprawki. Etap 1 to zmiany w samym programie. Etap 2 wymaga zmian w okablowaniu i zakupu materiałów.

Nr	Usterka	Istotność	Poprawka
U1	Kurtyny świetlne wyłączane w trybie ręcznym bitem zwykłego programu	Krytyczna	Etap 1 + przełącznik trybu w etapie 2
U2	Furtki nieaktywne przy zatrzymanej linii	Krytyczna	Etap 1
U3	Zanegowane wejścia bezpieczeństwa furtek i jednego wyłącznika awaryjnego (zestyki zwierne)	Krytyczna	Etap 2
U4	Furtki chronione w praktyce jednym łańcuchem szeregowym	Wysoka	Etap 2
U5	Odryglowanie furtek bez kontroli zatrzymania; bit testowy w logice bezpieczeństwa	Wysoka	Etap 1
U6	Sprzężenie zwrotne styczników bezpieczeństwa na zwykłym wejściu	Średnia	Etap 2
U7	Brak reintegracji modułów bezpieczeństwa; schemat niezgodny z programem	Średnia	Etap 1 + aktualizacja schematu
U8	Napęd noży krążkowych poza obwodem bezpieczeństwa	Krytyczna	Etap 2, priorytet
U9	Bity „TEST” omijające blokady, w tym blokady napędu noży	Krytyczna	Etap 1
U10	Podwójne przypisanie bitu przerwy przy zmianie kierunku ruchu prasy	Średnia	Etap 1
U11	Funkcje niedokończone, zmienne i sieci bez opisów	Niska	przy porządkowaniu programu

Środki tymczasowe, obowiązujące do czasu poprawek

Wejście za ogrodzenie tylko po zatrzymaniu linii, wyłączeniu i zablokowaniu zasilania kłódką (LOTO).
Tryb ręczny tylko dla osób upoważnionych. W trybie ręcznym nikt nie przebywa w polu kurtyn ani za ogrodzeniem.
Codzienny test wyłącznika awaryjnego pulpitu nawijaka i ryglowania furtek. Co miesiąc pełny test każdej furtki i każdego wyłącznika.
Przy każdym teście wyłącznika awaryjnego sprawdzić, czy noże krążkowe się zatrzymały. Jeśli nie, linia jest wyłączona z ruchu.
Nie używać funkcji testowych panelu ani programatora do załączania napędów.
Pouczenie operatorów o tych ograniczeniach, potwierdzone podpisem.

Usterki krytyczne

Rysunek pokazuje logikę znalezioną w programie. Czerwony fragment to miejsce usterki.

U1

Kurtyny świetlne obchodzone w trybie ręcznym

Krytyczna

Blok bezpieczeństwa, sieci 6 i 7 (kurtyna lewa i prawa)

Po poprawce: KURTYNA_OK = OSSD1 AND OSSD2

Skutek: W trybie ręcznym przerwanie kurtyny nie zatrzymuje maszyny. Usterka przełącznika trybu, przewodu albo zwykłego programu wyłącza kurtyny.
Wymaganie: 2006/42/WE zał. I pkt 1.2.5 (wybór trybu sterowania); EN ISO 12100; EN ISO 13849-1
Poprawka: Usunięcie obejścia z programu. Docelowo przełącznik trybu w wykonaniu bezpieczeństwa (dwa kanały), a w trybie ręcznym sterowanie podtrzymywane i ograniczona prędkość.

U2

Furtki nieaktywne przy zatrzymanej linii

Krytyczna

Blok bezpieczeństwa, sieć 8 (główne zatrzymanie)

Po poprawce: … AND KURTYNA_P AND FURTKI

Skutek: Gdy linia nie pracuje w automacie, otwarcie furtki nie wyłącza styczników bezpieczeństwa. Zawory hydrauliki pozostają zasilone, a ruchy ręczne są możliwe przy osobie za ogrodzeniem.
Wymaganie: 2006/42/WE zał. I pkt 1.4.2.2 (osłony ruchome blokujące); EN ISO 14119; EN ISO 13849-1
Poprawka: Usunięcie gałęzi z bitem M320.0. Otwarta furtka zawsze wyłącza styczniki.

U3

Zanegowane wejścia bezpieczeństwa

Krytyczna

Blok bezpieczeństwa, sieci 1 i 2: 10 furtek i wyłącznik awaryjny pulpitu nawijaka

Po poprawce: zestyki rozwierne, logika bez negacji (1 = bezpiecznie)

Skutek: Przerwany przewód, brak zasilania czujnika albo wyłączony kanał dają 0, a po negacji stan „OK”. Te obwody nie wykrywają własnych uszkodzeń. Wyłącznik awaryjny z przerwanym przewodem nie zatrzyma linii.
Wymaganie: EN ISO 13850 pkt 4.1.5 (zestyki z wymuszonym rozwarciem); EN ISO 13849-1; EN 60204-1 pkt 10.7
Poprawka: Przełączenie obwodów na zestyki rozwierne z wymuszonym rozwarciem. Do tego czasu codzienny test każdego z tych urządzeń.

U8

Napęd noży krążkowych poza obwodem bezpieczeństwa

Krytyczna

hydraulika i nawijak: zatrzymanie przez obwód bezpieczeństwa

wyłącznik awaryjnyprogram Fdwa stycznikizasilanie odcięte

noże krążkowe: zatrzymanie tylko przez zwykły program

wyłącznik awaryjnybit M301.0zwykły programnapęd noży 350 A

Schemat elektryczny: wejście „szybki stop” napędu zmostkowane na stałe do +24 V

Skutek: Usterka zwykłego programu, karty wyjść albo przekaźnika powoduje, że noże nie zatrzymają się po naciśnięciu wyłącznika awaryjnego ani po otwarciu osłony. Funkcja nie ma określonego poziomu PL.
Wymaganie: 2006/42/WE zał. I pkt 1.2.4.3 (zatrzymanie awaryjne); EN ISO 13850; EN 60204-1 pkt 9.2.5.4
Poprawka: Zatrzymanie napędu i jego stycznika z wyjścia bezpieczeństwa, z kontrolą zatrzymania. Sposób dobierany według dokumentacji napędu.

U9

Bity „TEST” omijające blokady

Krytyczna

stycznik napędu noży = warunek ORM500.2

start noży = warunek ORM500.4

zezwolenie noży = warunek ORM500.3

podnoszenie kołyski = warunek ORM500.6

zgoda na start linii = warunki ORM500.1

przycisk „noże przód” = wejście ORM501.5

Zwykły program, 6 sieci w 3 blokach. Bitów nie ustawia żadna sieć programu.

Po poprawce: bity TEST usunięte ze wszystkich sieci

Skutek: Bity może ustawić panel operatorski albo osoba z programatorem. Wtedy napęd noży załącza się z pominięciem sygnału bezpieczeństwa, a linia startuje bez kurtyn i gotowości napędów.
Wymaganie: 2006/42/WE zał. I pkt 1.2.1; EN ISO 13849-1 (ochrona przed manipulacją)
Poprawka: Wykonana w etapie 1. Do sprawdzenia na obiekcie: czy panel ma przyciski zapisujące te bity.

Pozostałe usterki

U4

Furtki na jednym łańcuchu szeregowym

Wysoka

Skutek: Wobec U3 jedynym skutecznym kanałem jest łańcuch 10 zestyków na jednym wejściu. Usterki się maskują, wymagany poziom PL może być nieosiągalny.
Poprawka: Każda furtka osobno, na dwóch kanałach. Poziom PL potwierdzony obliczeniem.

U5

Rygle zwalniane bez kontroli zatrzymania

Wysoka

Skutek: Furtkę można otworzyć w czasie wybiegu noży lub nawijaka. Bit testowy odryglowuje furtki w dowolnym trybie.
Poprawka: Odryglowanie dopiero po czasie wybiegu, liczonym w programie bezpieczeństwa. Bit testowy usunięty.

U6

Kontrola styczników na zwykłym wejściu

Średnia

Skutek: Zgrzanie styków stycznika bezpieczeństwa nie jest bezpiecznie wykrywane.
Poprawka: Styki kontrolne na wejście bezpieczeństwa i monitorowanie instrukcją FDBACK.

U7

Reintegracja modułów i dokumentacja

Średnia

Skutek: Po usterce kanału moduł pozostaje wyłączony do restartu sterownika. Jednej kurtyny nie ma na schemacie, cztery opisy sygnałów są sprzeczne z programem.
Poprawka: Kwitowanie przyciskiem Reset. Aktualizacja schematu i opisów.

U10

Podwójne przypisanie bitu przerwy

Średnia

Skutek: Przerwa 100 ms przed zmianą kierunku ruchu prasy działała tylko w jedną stronę. Ryzyko jednoczesnego wysterowania zaworów góra i dół.
Poprawka: Jeden czasomierz, uruchamiany gdy oba kierunki są wyłączone.

U11

Funkcje niedokończone, brak opisów

Niska

Stan: 377 z 551 zmiennych ma nazwę domyślną, 74 nie mają opisu, ok. 170 sieci nie ma tytułu. Trzy funkcje czytają bity, których nic nie ustawia.
Poprawka: Uporządkowanie nazw i opisów po ustaleniu z zakładem, które funkcje są potrzebne.

Plan poprawek

Poprawki podzielone tak, żeby najgroźniejsze obejścia usunąć od razu, samym programem, a prace wymagające postoju i zakupów zaplanować.

Etap 1 · program

bez zakupów · wgranie na postoju linii, potem walidacja

kurtyny działają w każdym trybie (U1)
otwarta furtka zawsze wyłącza styczniki (U2)
rygle zwalniane po czasie wybiegu (U5)
kwitowanie modułów przyciskiem Reset (U7)
bity TEST usunięte, poprawiona przerwa prasy (U9, U10)
hasło programu bezpieczeństwa i zapis sygnatury

Etap 2 · okablowanie

materiały i przerwa remontowa

napęd noży w obwodzie bezpieczeństwa (U8), priorytet
furtki na dwóch kanałach, 3 nowe moduły wejść (U3, U4)
zestyki rozwierne w wyłącznikach awaryjnych (U3)
kontrola styczników na wejściu bezpieczeństwa (U6)
kluczykowy przełącznik trybu pracy (U1)
obliczenie PL, aktualizacja schematu i instrukcji

Sieć	Było	Jest	Co się zmienia dla obsługi
6, 7	(OSSD1 AND OSSD2) OR M107.6	OSSD1 AND OSSD2	Przerwanie kurtyny zatrzymuje linię także w trybie ręcznym.
8	… AND (Furtki OR NOT M320.0)	… AND Furtki	Otwarcie furtki zawsze wyłącza hydraulikę po 5 s.
11	Rygle = M107.6 OR M503.0	Rygle = TON(M107.6, czas wybiegu)	Furtki otwierają się dopiero po zatrzymaniu napędów.
12	—	ACK_GL = Reset	Po usterce kanału wystarczy Reset, bez restartu sterownika.

Fragment tabeli zmian z planu poprawek. Stan sprzed zmian zachowany w osobnej kopii projektu.

Sprawdzenie po poprawkach

Zmieniona funkcja bezpieczeństwa wymaga walidacji. Protokół zawiera 17 testów z wymaganym wynikiem i miejscem na pomiar. Poniżej pięć z nich.

Nr	Test	Wymagany wynik	OK / NOK
W6	Tryb ręczny, otwarcie kolejno każdej z 10 furtek	Styczniki wyłączone po 5 s, hydraulika nie działa	☐
W10	Przerwanie kurtyny lewej i prawej w trybie ręcznym	Zatrzymanie linii	☐
W11	Pomiar wybiegu noży i nawijaka od maksymalnej prędkości	Czas odryglowania ≥ najdłuższy wybieg + 20%	☐ ___ s
W15	Noże pracują, naciśnięcie kolejno każdego wyłącznika awaryjnego	Noże zatrzymują się za każdym razem, czas zapisany	☐ ___ s
W16	Ustawienie każdego z dawnych bitów TEST na 1	Żadne wyjście nie zmienia stanu	☐

Testy okresowe z instrukcji

codziennieoperator: jeden wyłącznik awaryjny, ryglowanie furtek

co tydzieńpozostałe wyłączniki na pulpitach

co miesiącwszystkie wyłączniki i wszystkie furtki, dwie osoby

co rokautomatyk: każde wejście osobno, czasy, sygnatura programu

Czy to istotna modyfikacja maszyny?

Ocena w sześciu kryteriach, osobno dla obu etapów. Wniosek: nie. Zmiany nie wprowadzają nowego zagrożenia i zmniejszają istniejące ryzyko, więc zakład nie przejmuje obowiązków producenta. Ocena jest podpisana i traci ważność, jeśli zakres zmian zostanie rozszerzony.

Raport opracowano na podstawie dokumentacji i programu, bez badań na obiekcie. Nie zastępuje oceny ryzyka ani walidacji funkcji bezpieczeństwa.