Serviços
Bezpečnost strojů a zařízení
Bezpečnost není doplněk k řízení, ale jeho součást.
Bezpečnost není doplněk k řízení, ale jeho součást. Vzniká současně s ním, ze stejné analýzy a stejného návrhu, a pokud se do projektu doplňuje dodatečně, vede to zpravidla k dražšímu a horšímu řešení, než jaké bylo možné na začátku.
Celá oblast stojí na jednom rozlišení, které rozhoduje o tom, jaké povinnosti komu vznikají: jde o nový stroj uváděný na trh, nebo o provozované zařízení?
Dva režimy, dvě sady pravidel
U nového strojního zařízení nese odpovědnost výrobce. Musí provést posouzení rizik, splnit základní požadavky na ochranu zdraví a bezpečnost, zpracovat technickou dokumentaci, vydat prohlášení o shodě a umístit označení CE.
U zařízení, které je v provozu, nese odpovědnost provozovatel. V českém prostředí to upravuje nařízení vlády č. 378/2001 Sb., které stanoví minimální požadavky na bezpečný provoz a používání strojů. Provozovatel není výrobcem a nevydává prohlášení o shodě, ale musí zajistit, aby zařízení bylo provozováno bezpečně a aby zjištěné nedostatky byly odstraněny.
Většina projektů automatizace se odehrává ve druhém režimu, tedy na zařízení, které už běží. Tím se dostáváme k otázce, která je v celé oblasti nejdůležitější a zároveň nejčastěji podceněná.
Podstatná změna
Zásah do provozovaného stroje může být natolik významný, že z pohledu předpisů vznikne nový stroj. Tomu se říká podstatná změna a její důsledky jsou zásadní.
Nařízení (EU) 2023/1230 to formuluje jednoznačně: kdo provede podstatnou změnu strojního zařízení, považuje se za výrobce a vztahují se na něj povinnosti výrobce. Musí zajistit, aby zařízení bylo ve shodě s požadavky nařízení, prohlásit to na svou výhradní odpovědnost a použít příslušný postup posuzování shody. Pokud se změna dotýká bezpečnosti jen jedné části souboru strojních zařízení, vztahují se povinnosti na tuto část, a to v rozsahu prokázaném posouzením rizik.
Posouzení, zda jde o podstatnou změnu, se dělá případ od případu a vychází z toho, zda zásah vytváří nové nebezpečí nebo zvyšuje existující riziko způsobem, který stávající ochranná opatření nepokrývají. Zvýšení výkonu, změna účelu použití, doplnění automatického režimu tam, kde byl dosud ruční, nebo zásah do bezpečnostních obvodů jsou typické případy, kdy je odpověď potřeba mít doloženou.
Není-li změna podstatná, dokumentuje se provedený zásah a jeho ověření, provozní dokumentace se doplní a obsluha se seznámí s tím, co se změnilo. Osoba, která změnu provedla, vystavuje prohlášení dodavatele podle ČSN EN ISO/IEC 17050-1, což není totéž co prohlášení o shodě.
Vyhodnocení podstatné změny patří do úvodní fáze projektu, protože se od něj odvíjí rozsah dokumentace i postup posuzování shody. Podklady k němu vznikají ze samotného popisu zamýšleného zásahu a z posouzení rizik, tedy z dokumentů, které se v této fázi zpracovávají tak jako tak.
Posouzení rizik
Posouzení rizik se řídí normou EN ISO 12100 a je vstupem, ze kterého se odvozuje celý zbytek bezpečnostní části.
Vymezí se hranice zařízení a způsoby, jakými se bude používat, včetně těch nesprávných, které lze rozumně předvídat. Následně se identifikují nebezpečná místa, a to ve všech provozních režimech, tedy nejen za běžného chodu, ale i při seřizování, čištění, údržbě a odstraňování poruch. U každého se vyhodnotí míra rizika a rozhodne se, zda je nutné je snižovat.
Postup je iterativní, protože každé přijaté opatření může změnit podmínky jinde a je nutné vyhodnotit i tento nový stav.
Pořadí opatření je přitom dané a nelze je zaměňovat. Nejprve se riziko odstraňuje konstrukčním řešením, tedy tak, aby nebezpečné místo vůbec nevzniklo. Až poté nastupují technická ochranná opatření, tedy kryty, ochranné clony, skenery, dvouruční ovládání a bezpečnostní funkce řídicího systému. Na posledním místě stojí informace pro uživatele, tedy značení, návody a organizační opatření, kterými nelze nahradit předchozí dva stupně.
Bezpečnostní funkce a jejich úroveň
Z posouzení rizik vyplývají konkrétní bezpečnostní funkce. Typicky bezpečné zastavení při otevření krytu, nouzové zastavení, hlídání polohy, bezpečně omezená rychlost pro seřizovací režim, blokování spuštění při přítomnosti osoby v prostoru.
Každá funkce má stanovenou požadovanou úroveň spolehlivosti. Podle EN ISO 13849-1 se vyjadřuje jako Performance Level ve stupnici a až e a odvozuje se ze závažnosti posuzovaného rizika pro bezpečnost osob, z četnosti a doby, po kterou je riziku vystavena obsluha, a z možnosti riziku předejít. Alternativně se používá IEC 62061 a stupnice SIL.
Dosažená úroveň se pak vypočítává z parametrů skutečně použitého řešení: z kategorie struktury obvodu, ze střední doby do nebezpečné poruchy použitých komponent, z pokrytí diagnostikou a z odolnosti proti poruchám se společnou příčinou. Výsledek se musí rovnat požadované úrovni nebo ji převyšovat, a tento výpočet je součástí dokumentace.
Praktický důsledek: úroveň bezpečnosti nelze zvýšit samotným programem. Vyplývá z volby komponent, ze zapojení a z redundance obvodu, tedy z rozhodnutí, která padnou při návrhu rozvaděče.
Bezpečnostní matice
Bezpečnostní matice je dokument, který převádí výsledky posouzení rizik do podoby použitelné pro realizaci. Má podobu tabulky, kde jsou na jedné ose bezpečnostní prvky a spouštěcí události, na druhé zóny a pohony zařízení.
V průsečících je uvedeno, co se má stát: která pohonná jednotka se zastaví a jakým způsobem, jaká je požadovaná reakční doba, zda dojde k odpojení energie a co je nutné pro opětovné spuštění, tedy zda stačí potvrzení nebo je nutný reset a kontrola prostoru.
Matice slouží třem stranám současně. Je zadáním pro programátora bezpečnostní části, podkladem pro projektanta rozvaděče a scénářem pro pozdější validaci. Spolu s funkčním popisem a schématy tvoří tu část dokumentace, ze které lze i po letech dohledat, proč je zařízení nastavené právě takto.
Realizace v řídicím systému
Bezpečnostní funkce se dnes realizují uvnitř řídicího systému. Používají se procesorové jednotky s certifikovanou bezpečnostní částí, u nichž je bezpečnostní program oddělen od standardního, má omezený přístup a vlastní kontrolu integrity.
Bezpečnostní signály se přenášejí po téže průmyslové síti jako ostatní data, ale v protokolu, který zajišťuje, že poškozená, ztracená nebo opožděná zpráva vede k bezpečnému stavu, nikoli k platnému povelu.
Toto řešení má oproti reléové logice dvě výhody, které jsou u rozsáhlých linek rozhodující. Umožňuje rozdělit zařízení na bezpečnostní zóny a zastavovat jen dotčenou část, což u dlouhých dopravníkových systémů zásadně snižuje ztráty. A poskytuje diagnostiku, tedy informaci, který konkrétní prvek zastavení vyvolal, což zkracuje dobu hledání příčiny.
Validace
Validace je praktické ověření, že každá bezpečnostní funkce skutečně dělá to, co je popsáno v matici, a ve stanoveném čase.
Postupuje se podle scénářů: vyvolá se každý bezpečnostní stav a ověří se reakce zařízení, včetně chování při poruše, tedy například při přerušení vodiče nebo výpadku jednoho kanálu. Měří se doby doběhu, které jsou vstupem pro výpočet bezpečných vzdáleností u ochranných clon a skenerů.
O validaci se pořizuje protokol.
Dokumentace bezpečnostní části
Výstupem je ucelený soubor: posouzení rizik s identifikovanými nebezpečími a přijatými opatřeními, seznam bezpečnostních funkcí s požadovanými a dosaženými úrovněmi včetně výpočtů, bezpečnostní matice, schémata bezpečnostních obvodů, seznam použitých komponent s jejich bezpečnostními parametry, protokol o validaci a údaje o životnosti a intervalech kontroly bezpečnostních prvků.
Poslední bod bývá opomíjený. Bezpečnostní komponenty mají omezenou životnost vyjádřenou dobou nebo počtem cyklů a po jejím uplynutí přestává vypočtená úroveň platit, i když prvek zdánlivě funguje.
Co přinese nové nařízení
Směrnice 2006/42/ES zůstává v platnosti do 19. ledna 2027. Od 20. ledna 2027 ji nahrazuje nařízení (EU) 2023/1230.
Změna formy ze směrnice na nařízení znamená, že pravidla platí přímo a jednotně ve všech členských státech, bez národních prováděcích předpisů, což má zajistit jednotnější výklad klíčových pojmů. Nařízení se vztahuje i na částečně zkompletovaná strojní zařízení.
Obsahově reaguje na tři oblasti, které dřívější úprava neřešila. Kybernetickou bezpečnost, tedy ochranu řídicího softwaru před neoprávněným zásahem, který by mohl ovlivnit bezpečnostní funkce. Systémy se samovyvíjejícím se chováním, tedy využití strojového učení v bezpečnostních aplikacích. A digitální dokumentaci, tedy pravidla pro elektronické návody k použití a prohlášení o shodě.
Zároveň zavádí kategorie strojů s vyšším rizikem, u nichž je posuzování shody vázáno na zapojení oznámeného subjektu.
Strojní zařízení uvedená na trh před 20. lednem 2027 v souladu s dosavadní úpravou lze dodávat na trh i po tomto datu. Pro projekty připravované nyní je proto rozhodující předpokládané datum uvedení do provozu.