Kurtyny optoelektroniczne typu 2 czy typu 4? Jak dobrać poziom nienaruszalności bezpieczeństwa SIL i PL

1. Zacznij od ryzyka przy maszynie, a nie od wyboru typu kurtyny

Jakie pytania trzeba rozstrzygnąć przed doborem zabezpieczenia

Najkosztowniejszy błąd przy doborze kurtyny optoelektronicznej polega na rozpoczęciu od katalogu produktów, a nie od analizy ryzyka maszyny. Oznaczenie typ 2 albo typ 4 nie odpowiada samo w sobie na pytanie, czy pracownik będzie rzeczywiście chroniony. Kurtyna jest tylko jednym z elementów funkcji bezpieczeństwa: wykrywa naruszenie pola ochronnego, natomiast zatrzymanie zagrożenia realizują również układ sterowania, elementy wykonawcze, napęd, zawory, styczniki, sprzężenie zwrotne oraz logika restartu. ^[2]

Ocena ryzyka powinna obejmować nie tylko ruch maszyny, ale też realny sposób pracy na stanowisku. Inaczej ocenia się kurtynę przy prasie, inaczej przy automatycznej zgrzewarce, centrum obróbczym, pakowarce, robocie przemysłowym czy stanowisku montażowym z ruchem pneumatycznym. Znaczenie ma rodzaj zagrożenia, ciężkość możliwego urazu, częstotliwość dostępu do strefy niebezpiecznej, czas ekspozycji operatora oraz możliwość uniknięcia urazu po wystąpieniu sytuacji niebezpiecznej.

Przed wyborem urządzenia trzeba odpowiedzieć na kilka konkretnych pytań:

• Jakie ruchy lub procesy stanowią zagrożenie: cięcie, zgniatanie, ścinanie, wciągnięcie, uderzenie, gorąca powierzchnia, wyrzut materiału?
• Czy dostęp do strefy niebezpiecznej jest częsty, regularny czy tylko serwisowy?
• Czy operator wkłada do maszyny wyłącznie dłonie, całą rękę, tułów albo przechodzi do wnętrza stanowiska?
• Jak szybko po przerwaniu pola ochronnego zatrzymuje się niebezpieczny ruch?
• Czy po zatrzymaniu pozostaje energia resztkowa, na przykład bezwładność, ciśnienie pneumatyczne, opadanie pionowej osi lub wysoka temperatura?
• Czy istnieją inne drogi dostępu: z boku, od góry, od dołu, przez otwór technologiczny albo przez przestrzeń między kurtyną a maszyną?
• Czy po naruszeniu pola ochronnego możliwy jest automatyczny restart, czy wymagany jest świadomy reset poza strefą zagrożenia?

Kurtyna nie zastępuje kompletnego układu zatrzymania

Funkcja bezpieczeństwa powinna być opisana jako pełny łańcuch przyczynowo-skutkowy. Przykładowo: naruszenie pola ochronnego kurtyny powoduje wyłączenie wyjść bezpieczeństwa, przekazanie sygnału do sterownika bezpieczeństwa, odłączenie energii od ruchu niebezpiecznego, kontrolę zatrzymania oraz blokadę ponownego uruchomienia do czasu spełnienia warunków resetu. Dopiero taki opis pozwala ocenić, czy wymagany poziom PL albo SIL osiąga cały system, a nie jedynie jego czujnikowy początek.

W praktyce nawet bardzo dobra kurtyna bezpieczeństwa typu 4 nie zapewni oczekiwanej redukcji ryzyka, jeżeli sygnał OSSD jest podłączony do zwykłego wejścia PLC bez funkcji bezpieczeństwa, styczniki nie są monitorowane albo napęd po otrzymaniu żądania stopu zatrzymuje się zbyt długo. Z drugiej strony właściwie zaprojektowany układ sterowania nie naprawi błędu polegającego na ustawieniu kurtyny zbyt blisko strefy zagrożenia.

Mit: „Kurtyna typu 4 automatycznie czyni maszynę bezpieczną”. Rzeczywistość jest bardziej wymagająca. Typ urządzenia nie skompensuje nadmiernego czasu zatrzymania, braku osłon bocznych, nieprawidłowego resetu ani możliwości wejścia operatora za pole ochronne bez wykrycia.

Przykład stanowiska ręcznego załadunku

Przy stanowisku, na którym pracownik regularnie wkłada dłonie do obszaru roboczego, długość kurtyny jest tylko jednym z parametrów. Kluczowe mogą być: rozdzielczość umożliwiająca wykrycie dłoni, prawidłowo wyznaczona odległość bezpieczeństwa, czas zatrzymania maszyny oraz zapobieganie sięganiu nad polem ochronnym albo pod nim. Jeżeli kurtyna wykrywa rękę, ale jest zamontowana za blisko narzędzia, pracownik może dosięgnąć strefy zagrożenia, zanim ruch niebezpieczny ustanie.

W takim zastosowaniu nie należy zakładać, że wyższa kurtyna rozwiąże problem. Zwiększenie wysokości pola ochronnego może ograniczyć dostęp od przodu, ale nie likwiduje przejścia bokiem ani możliwości obejścia bariery. Dobór zabezpieczenia wymaga spojrzenia na całe stanowisko: konstrukcję, osłony stałe, otwory, sposób odkładania detalu, pozycję operatora i wszystkie możliwe zachowania podczas produkcji, przezbrojenia oraz usuwania zatorów.

2. Rozróżnij typ kurtyny od PL i SIL — to trzy różne elementy oceny

Co opisuje typ urządzenia, a co poziom funkcji bezpieczeństwa

Kurtyna optoelektroniczna typu 2 i kurtyna typu 4 to urządzenia należące do kategorii elektroczujnikowych urządzeń ochronnych. Typ odnosi się do właściwości bezpieczeństwa samej bariery, jej zachowania w warunkach uszkodzeń, mechanizmów diagnostycznych oraz zdolności wykrywania określonych nieprawidłowości. Oznaczenie typu nie jest jednak prostą etykietą „poziomu bezpieczeństwa całej maszyny”. ^[4]

PL, czyli Performance Level, jest pojęciem używanym w podejściu opartym między innymi na normie ISO 13849-1. Opisuje zdolność części systemu sterowania związanych z bezpieczeństwem do realizowania funkcji bezpieczeństwa z wymaganą niezawodnością. W praktyce analizowany jest cały tor: wejście bezpieczeństwa, logika sterowania, wyjścia, elementy wykonawcze, diagnostyka oraz sposób reagowania na uszkodzenia.

SIL, czyli Safety Integrity Level, jest stosowany w podejściu związanym z IEC 62061. Także dotyczy funkcji bezpieczeństwa realizowanej przez system sterowania, a nie wyłącznie pojedynczego czujnika lub kurtyny. W projekcie należy przyjąć konsekwentną metodę oceny, właściwą dla zastosowanego podejścia normatywnego i dokumentacji technicznej maszyny.

Dlaczego nie wolno mechanicznie przeliczać typu na PL lub SIL

Nie istnieje bezpieczna reguła typu: „kurtyna typu 2 odpowiada konkretnemu PL, a kurtyna typu 4 zawsze odpowiada najwyższemu poziomowi”. Takie uproszczenie pomija architekturę funkcji, parametry niezawodnościowe komponentów, pokrycie diagnostyczne, odporność na uszkodzenia wspólnej przyczyny, częstotliwość testów oraz element wykonawczy, który rzeczywiście odcina energię od zagrożenia.

W danych producenta należy sprawdzić, do jakich zastosowań bezpieczeństwa przeznaczono konkretny model, jakie deklaruje parametry oraz z jakim maksymalnym poziomem PL lub SIL może być stosowany w odpowiedniej architekturze. Te informacje należy następnie zestawić z parametrami przekaźnika bezpieczeństwa, sterownika, modułu napędowego, zaworów, styczników i układu sprzężenia zwrotnego.

Mit: „PL i SIL są oznaczeniami jakości kurtyny”. W rzeczywistości opisują wymagany albo osiągnięty poziom redukcji ryzyka przez funkcję bezpieczeństwa. Kurtyna ma znaczenie, ale nie stanowi samodzielnej funkcji zatrzymania, jeśli nie współpracuje z odpowiednio zaprojektowanym sterowaniem i elementami wykonawczymi.

Jedna maszyna może mieć wiele funkcji o różnych wymaganiach

Maszyna rzadko ma tylko jedną funkcję bezpieczeństwa. Osobno może być oceniane zatrzymanie po naruszeniu kurtyny, zatrzymanie awaryjne, blokada osłony ruchomej, ograniczenie prędkości podczas nastawiania, bezpieczne zatrzymanie napędu oraz kontrola położenia osi. Każda z tych funkcji może mieć odrębny scenariusz zagrożenia i inny wymagany poziom redukcji ryzyka.

Z tego powodu określenie „maszyna ma PL d” jest zwykle zbyt ogólne, aby na jego podstawie dobrać kurtynę. Precyzyjniejsze jest sformułowanie: funkcja zatrzymania ruchu niebezpiecznego po naruszeniu pola ochronnego wymaga określonego PLr lub SIL. Taki zapis daje podstawę do dalszych obliczeń, wyboru komponentów oraz walidacji.

3. Dobieraj kurtynę typu 2 wtedy, gdy analiza ryzyka rzeczywiście dopuszcza takie rozwiązanie

Kiedy niższy typ urządzenia może być uzasadniony

Kurtyna bezpieczeństwa typu 2 może być rozważana wtedy, gdy wynik analizy ryzyka i wymagana funkcja bezpieczeństwa nie wymagają właściwości charakterystycznych dla rozwiązania typu 4. Nie jest to decyzja, którą można podjąć na podstawie ceny, dostępności magazynowej czy podobieństwa do urządzenia zastosowanego na innym stanowisku.

Niższy typ może być uzasadniony w aplikacjach, w których poziom wymaganego zmniejszenia ryzyka jest odpowiednio niższy, a dokumentacja producenta wyraźnie dopuszcza wykorzystanie danego modelu w projektowanej funkcji bezpieczeństwa. Konieczna pozostaje ocena kompletnego toru bezpieczeństwa. Sama kurtyna nie przesądza o tym, czy całość osiągnie wymagany PL lub SIL.

Przed wyborem należy sprawdzić zwłaszcza:

• deklarowane przez producenta przeznaczenie kurtyny i ograniczenia aplikacyjne,
• funkcje testowania oraz monitorowania uszkodzeń dostępne w konkretnym modelu,
• rodzaj i parametry wyjść bezpieczeństwa, w tym sposób współpracy z modułem lub sterownikiem,
• czas reakcji urządzenia, który wpływa na odległość bezpieczeństwa,
• zasady okresowych testów, kontroli i utrzymania urządzenia,
• odporność na warunki środowiskowe: pył, mgłę olejową, wibracje, światło zewnętrzne, zabrudzenia i odbicia.

Koszt zakupu nie może zastąpić uzasadnienia technicznego

Różnica cenowa między urządzeniami bywa widoczna w kosztorysie, ale koszt całego rozwiązania może wyglądać zupełnie inaczej. Tańsza kurtyna może wymagać dodatkowych środków ochronnych, zmian w sterowaniu, częstszych kontroli, rozbudowy obwodów monitorowania albo późniejszej modernizacji. Z kolei nieuzasadnione użycie rozwiązania o wyższych parametrach także nie zwalnia z poprawnego montażu i walidacji.

W wielu zakładach problem pojawia się dopiero przy odbiorze maszyny lub po analizie zdarzenia niebezpiecznego. Wtedy okazuje się, że wybór komponentu był oderwany od wymaganej funkcji bezpieczeństwa. Zmiana kurtyny może pociągnąć za sobą przebudowę szafy sterowniczej, przeliczenie odległości bezpieczeństwa, zmianę osłon oraz aktualizację dokumentacji technicznej.

Dobrym uzupełnieniem tego tematu jest także poradnik: Bezpieczeństwo pracy przy liniach sortujących paczki czujniki, bariery i algorytmy ster….

Dobór kurtyny typu 2 powinien być więc decyzją udokumentowaną, a nie intuicyjną. Dokumentacja powinna pokazywać, dlaczego poziom ryzyka pozwala na takie rozwiązanie, jaki PLr albo SIL jest wymagany, jakie parametry ma wybrana kurtyna i w jaki sposób kompletna funkcja bezpieczeństwa została zweryfikowana. ^[1]

4. Wybierz kurtynę typu 4, gdy ryzyko i wymagana funkcja bezpieczeństwa są bardziej krytyczne

Typ 4 jest uzasadniony tam, gdzie margines błędu musi być mniejszy

Kurtyna typu 4 jest zwykle rozważana w zastosowaniach, w których skutki kontaktu ze strefą zagrożenia mogą być bardzo poważne, dostęp do ruchu niebezpiecznego jest częsty albo funkcja zatrzymania ma wysokie wymagania niezawodnościowe. Decyzja powinna wynikać z oceny konkretnego zagrożenia oraz z wymagań postawionych funkcji bezpieczeństwa.

W praktyce rozwiązanie typu 4 bywa właściwe między innymi wtedy, gdy:

• operator ma regularny dostęp do obszaru pracy podczas normalnego cyklu produkcyjnego,
• ruch maszyny może powodować zmiażdżenie, przecięcie, odcięcie części ciała lub inne ciężkie obrażenia,
• czas zatrzymania jest istotny dla zachowania wymaganej odległości bezpieczeństwa,
• nie można skutecznie ograniczyć dostępu wyłącznie osłonami stałymi,
• funkcja zatrzymania po naruszeniu pola ochronnego ma wysoki wymagany PLr albo SIL,
• zastosowanie pracuje intensywnie, a nieprawidłowe działanie zabezpieczenia mogłoby długo pozostać niezauważone.

Typ 4 zapewnia wyższy poziom właściwości bezpieczeństwa samego urządzenia, w tym bardziej zaawansowane mechanizmy wykrywania określonych uszkodzeń i nieprawidłowości. Nie oznacza to jednak, że można pominąć sprawdzenie parametrów konkretnego modelu. Różne kurtyny mogą różnić się rozdzielczością, zasięgiem, czasem reakcji, odpornością środowiskową, funkcjami blankingu czy sposobem konfiguracji restartu.

Przykład: automatyczna linia cięcia z ręcznym odbiorem detalu

Na linii, na której operator odbiera gotowy detal w pobliżu ruchomego narzędzia tnącego, naruszenie pola ochronnego musi skutecznie wywołać zatrzymanie ruchu niebezpiecznego. Jeżeli dostęp do strefy jest częsty, a możliwe skutki kontaktu z narzędziem są ciężkie, wybór kurtyny typu 4 może być uzasadniony przez wymagania funkcji bezpieczeństwa i charakter zagrożenia.

W takim przypadku trzeba jednak potwierdzić więcej niż sam dobór typu urządzenia. Należy sprawdzić, czy kurtyna ma odpowiednią rozdzielczość dla chronionej części ciała, czy jej wysokość zamyka dostęp od strony operatora oraz czy została ustawiona w obliczonej odległości od punktu niebezpiecznego. Konieczne mogą być również osłony boczne i górne, aby nie dało się wejść do strefy poza polem detekcji.

Nie ignoruj warunków, które mogą pogorszyć działanie pola ochronnego

Wysoki typ kurtyny nie zwalnia z oceny środowiska pracy. W aplikacjach z pyłem, chłodziwem, mgłą olejową, intensywnym światłem, odbiciami od błyszczących powierzchni lub wibracjami należy stosować urządzenie zgodnie z instrukcją producenta i zapewnić warunki umożliwiające niezawodne wykrywanie.

Warto zweryfikować zwłaszcza:

• czy elementy maszyny, przewody lub oprzyrządowanie nie zasłaniają części pola ochronnego,
• czy odbicia od metalu, szkła lub folii nie powodują niepożądanego zachowania kurtyny,
• czy zabrudzenie optyki będzie szybko zauważone przez diagnostykę albo podczas kontroli,
• czy uchwyty montażowe utrzymają właściwe ustawienie nadajnika i odbiornika,
• czy funkcje dodatkowe, takie jak muting lub blanking, zostały zastosowane wyłącznie wtedy, gdy ich użycie jest uzasadnione i zwalidowane.

Praktyczny sens jest prosty: kurtyna typu 4 powinna być dobierana jako element rozwiązania o wysokich wymaganiach, a nie jako uniwersalny „zapas bezpieczeństwa” bez sprawdzenia sposobu montażu i działania całej funkcji.

5. Ustal wymagany PLr albo SIL dla funkcji zatrzymania, a potem sprawdź cały łańcuch bezpieczeństwa

Zapisz funkcję bezpieczeństwa w sposób jednoznaczny

Ocena powinna dotyczyć jasno opisanej funkcji, a nie ogólnego hasła „ochrona kurtyną”. Dobry opis wskazuje zdarzenie wyzwalające, oczekiwaną reakcję oraz warunek ponownego uruchomienia.

Przykładowy zapis może wyglądać następująco:

Po przerwaniu co najmniej jednego promienia pola ochronnego maszyna ma doprowadzić ruch niebezpieczny do stanu bezpiecznego przed możliwością dosięgnięcia strefy zagrożenia. Ponowne uruchomienie cyklu może nastąpić wyłącznie po zwolnieniu pola ochronnego i wykonaniu świadomego resetu z miejsca zapewniającego widoczność strefy.

Taki opis pozwala wskazać komponenty uczestniczące w funkcji, określić czasy reakcji i ustalić, jakie uszkodzenia muszą zostać wykryte. Dopiero dla tak zdefiniowanej funkcji wyznacza się wymagany PLr według przyjętej metodyki opartej na ISO 13849-1 albo wymagany SIL zgodnie z podejściem IEC 62061.

Sprawdź każdy odcinek od wykrycia do zatrzymania zagrożenia

Po określeniu wymaganego poziomu należy przeanalizować rzeczywisty tor realizacji funkcji. W przypadku kurtyny obejmuje on nie tylko urządzenie ochronne, lecz także wszystkie elementy przekazujące i wykonujące żądanie zatrzymania.

1. Wejście: kurtyna musi wykryć naruszenie pola ochronnego i przełączyć wyjścia bezpieczeństwa zgodnie z deklarowanym czasem reakcji.
2. Logika: przekaźnik bezpieczeństwa lub sterownik bezpieczeństwa musi prawidłowo przetworzyć sygnały, wykrywać wymagane uszkodzenia oraz kontrolować warunki resetu.
3. Wyjście: elementy wyjściowe muszą odłączyć lub ograniczyć energię napędu w sposób odpowiedni dla danego zagrożenia.
4. Element wykonawczy: styczniki, zawory, napędy z funkcjami bezpieczeństwa albo inne urządzenia muszą faktycznie zatrzymać ruch niebezpieczny.
5. Sprzężenie zwrotne: jeżeli wymaga tego architektura, układ powinien potwierdzać, że elementy wykonawcze rzeczywiście przeszły do wymaganego stanu.
6. Restart: po usunięciu naruszenia maszyna nie może rozpocząć niebezpiecznego ruchu samoczynnie, jeżeli wymagany jest ręczny reset.

Przykładowo, kurtyna może zadziałać prawidłowo, a mimo to funkcja nie osiągnie wymaganego poziomu, jeśli dwa styczniki odłączające silnik są sterowane jednym niekontrolowanym wyjściem albo ich styki mogą się skleić bez wykrycia. Podobnie problemem będzie napęd, który otrzymuje sygnał stopu, lecz wyhamowuje zbyt długo w stosunku do przyjętej odległości bezpieczeństwa.

Uwzględnij rzeczywisty czas zatrzymania, nie tylko czas reakcji kurtyny

Do wyznaczenia odległości bezpieczeństwa należy przyjąć pełny czas potrzebny do osiągnięcia stanu bezpiecznego. Obejmuje on między innymi czas reakcji kurtyny, czas przetwarzania w sterowaniu, czas przełączenia elementów wykonawczych oraz czas fizycznego zatrzymania ruchu.

Parametr ten trzeba potwierdzić dla rzeczywistej maszyny, a nie wyłącznie przepisać z dokumentacji napędu. Zużycie hamulca, zmiana obciążenia, temperatura, ciśnienie w układzie pneumatycznym albo modyfikacja programu mogą wydłużyć czas zatrzymania. Jeżeli wynik pomiaru wzrośnie, może być konieczne odsunięcie kurtyny od zagrożenia lub zmiana sposobu zatrzymywania maszyny.

Walidacja powinna potwierdzić działanie także przy uszkodzeniach i błędach obsługi

Po projekcie i obliczeniach konieczna jest walidacja funkcji bezpieczeństwa. Jej celem jest potwierdzenie, że rozwiązanie odpowiada założeniom, dokumentacji technicznej oraz wymaganiom wynikającym z oceny ryzyka.

Zakres kontroli powinien obejmować co najmniej:

• test przerwania pola ochronnego w różnych miejscach i przy różnych fazach cyklu,
• sprawdzenie czasu zatrzymania oraz rzeczywistej odległości bezpieczeństwa,
• weryfikację ręcznego resetu i braku nieoczekiwanego restartu,
• kontrolę działania sprzężenia zwrotnego elementów wykonawczych, jeżeli jest zastosowane,
• sprawdzenie reakcji na rozłączenie przewodów, uszkodzenie elementu wyjściowego lub inne przewidywalne błędy,
• potwierdzenie, że osłony mechaniczne uniemożliwiają obejście pola ochronnego,
• udokumentowanie użytych parametrów, wyników pomiarów i wykonanych prób.

W dokumentacji warto przypisać każdej funkcji bezpieczeństwa jej wymagany PLr albo SIL, zastosowane komponenty, parametry niezawodnościowe, przyjętą architekturę, wynik obliczeń oraz raport walidacji. Dzięki temu późniejsza wymiana kurtyny, napędu, sterownika czy styczników nie będzie niekontrolowaną zmianą wpływającą na bezpieczeństwo maszyny.

Źródła

• [1] Pilz – EN/IEC 61496 – klasy ESPE a poziomy SIL i PL
• [2] SICK – Safety Solution Assistant, Basic – dobór typu ESPE do wymaganego PL/SIL
• [3] Leuze – MLC – kurtyny bezpieczeństwa typu 2 i typu 4
• [4] SICK – deTec – kurtyny bezpieczeństwa SICK