Posuzování rizika při projektování elektrických zařízení strojů (dokončení)

Posuzování rizika při projektování elektrických zařízení strojů (dokončení)

Jiří Hlinovský,
projektant a revizní technik elektrických zařízení

Příklad zapojení řídicích obvodů pro tipovací ovládání pohonu a kontrolu redukovaných otáček tohoto pohonu při vyřazeném blokovacím zařízení ochranného krytu, jejichž jádrem jsou dvě oddělená programovatelná elektronická zařízení (dva PLC standard), je nakreslen na obr. 6. Jsou použity PLC s reléovými výstupy, existuje však i varianta tohoto zapojení využívající PLC s polovodičovými výstupy a vyžadující navíc zařazení ještě jednoho pomocného relé.

Pohon nebezpečné části stroje na obr. 6 je řízen dvěma navzájem nezávislými (redundantními) kanály, a protože toto zapojení nepoužívá vzájemnou (tzv. křížovou) kontrolu shodného stavu výstupů, jsou skutečné otáčky snímány dvěma nezávislými snímači. Výsledky operací a dosažené stavy v obou kanálech jsou porovnávány pouze pomocí datové komunikace mezi oběma CPU, ale pro zapnutí přívodu energie na vstup měniče (stykačem K1M) a pro povolení startu (uvolnění) měniče (vstup START/STOP) je nutné dosáhnout shody na výstupech obou kanálů. Teoreticky by program každého z obou kanálů měl používat jiné algoritmy, což je naznačeno připojením řídicích signálů na různé vstupy a výstupy obou PLC.

Je-li přepínačem navolen režim, kdy je blokovací zařízení ochranného krytu funkční, je při požadavku na odjištění krytu zastaven pohyb nebezpečné části stroje a dvojnásobně je přerušen přívod energie na její pohon (měničem a následně stykačem K1M). Při navolení režimu, ve kterém je blokovací zařízení krytu vyřazeno z funkce, dovolí řídicí systém stroje při otevřeném krytu pouze redukovanou rychlost otáčení pohonu nebezpečné části stroje s redundantní kontrolou skutečných otáček, a to jen za předpokladu, že obsluha trvale působí na tlačítko tipovacího ovládání.

Při selhání (závadě) některé součásti v jednom kanálu zapojení je bezpečné zastavení a odpojení pohonu nebezpečné části stroje zajištěno druhým (ještě funkčním) kanálem. Díky odděleným snímačům skutečných otáček kontrolovaného pohonu je v obou kanálech spolehlivě detekováno selhání měniče, např. neočekávané spuštění, nezastavení nebo nežádoucí zvýšení otáček (zastavení a odpojení pohonu zajišťuje stykač K1M). Selhání stykače K1M, především jeho neodpadnutí nebo svaření jeho silových (pracovních) kontaktů, je rovněž spolehlivě detekováno v obou kanálech prostřednictvím klidových kontaktů stykače, které jsou zapojeny na vstupy obou PLC (podmínkou ovšem je použití stykače s kontakty, které mají nucené vedení). V případě, že stykač K1M selže, je výstupy obou PLC zablokován uvolňovací signál (START/STOP) pro měnič. Selhání řídicích přístrojů nebo přerušení vodičů ve vstupních obvodech je vyhodnoceno jako neshoda a vede k dosažení bezpečného stavu zařízení. Závady nebo rušení přenosu dat mezi oběma CPU jsou detekovány pomocí pravidelného testování přenosového telegramu.

Je zřejmé, že řídicí obvody nebezpečného pohonu, nakreslené na obr. 6, mohou selhat pouze v případě nahromadění nedetekovaných závad, a požadavky kategorie 3 podle ČSN EN 954-1:1998 jsou tedy splněny (alespoň podle rozboru chování popsaného v předchozích odstavcích). Speciálně v případě použití PLC pro úlohy související s bezpečností stroje je však nutné ověřit funkční bezpečnost obvodů nejen analýzou, ale také simulováním pro bezpečnost relevantních závad.

Ověřování musí prokázat shodu všech bezpečnostních částí řídicího systému stroje s požadavky stanovených kategorií a jeho výsledky musí být řádně dokumentovány (při analýze popisem chování, při zkouškách protokoly o zkouškách). Zároveň musí být ověřena účinnost použitých bezpečnostních opatření a výsledky ověření rovněž musí být zdokumentovány.

Jestliže příslušné dokumenty, zejména dokument o posouzení (nebo alespoň odhadu) rizika a stanovení kategorií požadavků na bezpečnostní části řídicího systému stroje, nejsou k dispozici, mohou pracovníci kontrolních orgánů zcela legitimně zpochybnit používání normy ČSN EN 1050 (popř. ČSN EN 954-1) během procesu konstruování a výroby strojního zařízení. Věřte nevěřte, již se to v několika případech stalo, a postižení výrobci, potažmo jejich konstruktéři, měli spoustu velmi nepříjemných starostí.

V dalším textu je popsán jeden z možných způsobů vytváření „strategické“ dokumentace, který se mi v praxi plně osvědčil a který v současné době používá i mnoho dalších konstruktérů. Jeho hlavní předností je možnost sloučit protokoly o posouzení rizika souvisejícího se strojním zařízením a protokoly o vyhodnocení účinnosti použitých bezpečnostních opatření do jednoho dokumentu, který je sice pro značnou podrobnost popisu dosti obsáhlý, ale jehož průkazní hodnota je nesporná, a to nejen podle mého názoru.

Základem dokumentu je část obsahující identifikační údaje o strojním zařízení, jeho výrobci a zpracovateli protokolu, tj.:

• označení stroje,
• typ stroje,
• obchodní jméno, adresu a IČO výrobce,
• popis funkce stroje,
• popis uvažovaného způsobu použití a předpokládaného nesprávného použití stroje,
• údaje o stanovené době existence stroje (je-li to významné),
• údaje o tom, kdo protokol zpracoval,
• datum zpracování protokolu.

Další součástí dokumentu je všeobecný popis strojního zařízení z hlediska bezpečnosti, jenž obsahuje zejména:

• podrobný popis stroje, určeného způsobu použití a způsobu obsluhy,

• informace o všech existenčních fázích stroje, které byly uvažovány při posuzování rizika,

• popis strategie, která byla použita pro volbu bezpečnostních ochranných opatření určených k odstranění nebo omezení nebezpečí způsobovaných strojním zařízením,

• informace o mezních hodnotách strojního zařízení, zejména vymezení a pojmenování všech nebezpečných prostorů, stanovišť obsluhy, přístupových a únikových cest apod.,

• soupisy všech dílčích nebezpečí, která byla v jednotlivých nebezpečných prostorech identifikována, hlavně podle tabulky v ČSN EN 1050,

• popisy bezpečnostních ochranných opatření, která byla použita pro odstranění nebo minimalizaci jednotlivých nebezpečí,

• informace o provedeném odhadu rizika a o stanovení kategorií požadavků pro jednotlivé bezpečnostní části řídicího systému,

• seznamy uvažovaných a vyloučených závad bezpečnostních částí řídicího systému,

• informace o způsobu hodnocení rizika a vytváření dokumentu.

Dokument je zaměřen především na dominantní, tedy obvykle mechanická nebezpečí, věnuje však pozornost i všem ostatním nebezpečím, včetně elektrických.

Zkušenosti z praxe však ukázaly, že důsledné vyhodnocení elektrických nebezpečí dále popsaným způsobem značně komplikuje tvorbu dokumentu (je to dáno rozsahem ČSN EN 60204-1), a proto u složitějších strojů sestavuji samostatné vyjádření k elektrickému zařízení stroje. Je to vlastně soupis všech článků normy ČSN EN 60204-1, které se týkají elektrického zařízení stroje, doplněný komentářem o způsobu splnění jejich požadavků.

Poslední a nejdůležitější částí dokumentu jsou protokoly s hodnocením úrovně rizika, samostatně vypracované pro každý nebezpečný prostor, každé jednotlivé nebezpečí v tomto prostoru, každou uvažovanou existenční fázi stroje a pro každou uvažovanou nebezpečnou situaci, v souladu se všeobecným technickým popisem stroje z hlediska bezpečnosti.

Na jednotlivých listech jsou uvedeny tyto informace:

• označení nebezpečí (včetně čísla podle ČSN EN 1050),
• označení nebezpečného prostoru,
• označení existenční fáze,
• popis uvažované nebezpečné situace,
• hodnota počáteční úrovně rizika před použitím bezpečnostních opatření,
• popis bezpečnostních opatření, která byla použita k odstranění nebo omezení rizika,
• hodnota konečné úrovně rizika po opatřeních (zbytkové riziko),
• prohlášení, že opatření jsou dostatečná,
• jméno odpovědného pracovníka,
• datum.

Úroveň rizika je vyjadřována absolutní hodnotou v bodech, v rozsahu 0 bodů (nejnižší úroveň rizika) až 10 bodů (nejvyšší úroveň rizika). Pro stanovení bodové hodnoty úrovně rizika užívám grafickou metodu, která je znázorněna na obr. 7 a která používá tyto čtyři pomocné parametry:

• závažnost možného poškození zdraví,
• doba trvání zásahu nebo pobytu obsluhy v nebezpečném prostoru,
• možnost vyvarování se nebezpečí,
• pravděpodobnost výskytu nebezpečné situace.

Podle informací, které mám k dispozici, byla obdobná tabulka jako na obr. 7 uvedena v návrhu normy pro posuzování rizika (prEN 1050). Není proto nic divného, že je součástí některých programů pro hodnocení rizika, které jsou dostupné i v České republice, a že podobné metody používají i některé kontrolní orgány. Samotné hodnocení je velmi hrubé (jedná se spíše o přesnější odhad rizika), umožňuje však odhalit i tu nejmenší bezpečnostní slabinu v konstrukci stroje.

Návod na volbu stupňování jednotlivých pomocných parametrů pro stanovení počáteční úrovně rizika (před použitím jakýchkoliv bezpečnostních opatření) je velmi podobný návodu pro volbu stupňování tří pomocných parametrů při odhadu rizika grafickou metodou podle ČSN EN 954-1.

Závažnost možného poškození zdraví je parametr, jehož stupňování je poměrně snadno určitelné, přičemž při volbě stupně se vždy upřednostňuje nejhorší možnost:

• stupeň lehké zranění se volí v případech, kdy se jedná o poškrábání, odření, pohmoždění, tržné rány a zlomeniny menších kostí (snadno zhojitelná zranění bez trvalých následků),

• stupeň těžké zranění se volí v případech, kdy se jedná o zlomeniny velkých kostí, amputace, skalpování, ztrátu zraku nebo sluchu apod. (zranění s následující dlouhou pracovní neschopností, popř. s trvalými následky),

• stupeň smrt se volí v případech, kdy existuje reálné nebezpečí smrtelného úrazu. Při volbě tohoto parametru se doporučuje brát v úvahu také počet osob, které jsou v konkrétní nebezpečné situaci ohroženy.

Volba stupňování druhého parametru, tj. doby trvání zásahu nebo pobytu v nebezpečném prostoru, je rovněž velmi jednoduchá:

• stupeň často se volí v případech, kdy obsluha pravidelně zasahuje nebo vstupuje do nebezpečného prostoru (alespoň jedenkrát za směnu) nebo je nebezpečí vystavena trvale,

• stupeň občas se volí v případech, kdy obsluha zasahuje nebo vstupuje do nebezpečného prostoru vzácně, zřídka, málokdy, nepravidelně (např. za účelem kontroly, seřízení, mazání, čištění apod.).

Při volbě stupňování třetího parametru, tj. možnosti vyvarování se nebezpečí, je nutné postupovat obdobným způsobem jako při volbě stupňování stejného parametru při odhadu rizika podle ČSN EN 954-1:

• jestliže existuje reálná možnost vyvarování se nebezpečí, je možné volit lehčí stupeň (za určitých podmínek možné),

• v opačném případě musí být zvolen stupeň těžší (sotva možné).

Pro správnou volbu stupně čtvrtého parametru, tj. pravděpodobnosti vzniku nebezpečné situace, je možné řídit se těmito údaji:

• stupeň velká pravděpodobnost lze volit v případech, kdy je vznik nebezpečné situace nepochybný (zcela určitě vznikne) nebo pravděpodobný, přičemž její vznik bude překvapivý a neočekávaný,

• stupeň střední pravděpodobnost lze volit v případech, kdy je vznik nebezpečné situace pravděpodobný (není však překvapivý) nebo je náhodný, ke vzniku nebezpečné situace však může dojít,

• stupeň malá pravděpodobnost lze volit v případech, kdy je vznik nebezpečné situace možný (ale není obvyklý) nebo je nepravděpodobný (je jen sotva možný, ale lze si jej představit) nebo je téměř nemožný (možný jen za extrémních okolností).

U obráběcího stroje uvažovaného v příkladu je možné stanovit počáteční úroveň rizika pro hlavní nebezpečný prostor stroje, nebezpečí stlačení nebo rozdrcení a existenční fázi obráběcí (automatický) režim tímto způsobem:

• závažnost možného poškození zdraví – těžké,
• doba pobytu – často,
• možnost vyvarování se nebezpečí – sotva možné,
• pravděpodobnost vzniku – velká,
• výsledek – 6 bodů.

Stejný výsledek bude mít i hodnocení pro existenční fázi seřizovací režim.

Vyhodnocení účinnosti použitých bezpečnostních opatření vyžaduje zvládnutí nějakého systému pro přehodnocování jednotlivých pomocných parametrů. Návody nejsou k dispozici (obvykle jsou uvedeny jen lepší či horší příklady) a záleží jen na konstruktérovi, zda nějaký systém převezme nebo zda si vytvoří vlastní pravidla hodnocení. Dále popisovaný způsob vyhodnocování je úspěšně vyzkoušen na obráběcích strojích různých typů, jednoúčelových strojích, lisech i výrobních linkách a díky vstřícnosti mnoha kolegů projektantů je neustále zdokonalován tak, jak přibývají zkušenosti s jeho používáním.

Pro existenční fázi obráběcí (automatický) provoz je jako základní bezpečnostní opatření určen lineárně posuvný ochranný kryt hlavního nebezpečného prostoru (OKTP – ochrana konstrukčně-technickými prostředky), který ovšem chrání obsluhu jen v případě, že je zcela uzavřen. Je tedy možné konstatovat, že za určitých podmínek (pokud je kryt uzavřen v ochranné poloze) je možné se vyvarovat nebezpečí a přehodnotit třetí parametr (možnost vyvarování se nebezpečí) ze „sotva možné“ na „za určitých podmínek možné“, čímž bodová hodnota rizika klesne na 5 bodů.

Jako další bezpečnostní opatření slouží blokovací zařízení ochranného krytu s jištěním a kontrolou zastavení nebezpečných pohybů (OTPR – ochrana technickými prostředky řízení). Toto opatření je vysoce účinné, neboť zaručuje, že v okamžiku odjištění krytu ustaly všechny nebezpečné pohyby, nebezpečí stlačení nebo rozdrcení již neexistuje a zůstává jen nebezpečí lehkého poranění o stojící části stroje, které se nacházejí v nebezpečném prostoru (píchnutí, říznutí, škrábnutí, odření, spálení, naražení atd.). Díky tomu je možné přehodnotit první parametr (závažnost možného poškození zdraví) z „těžké“ na „lehké“, čímž bodová hodnota rizika klesne na 1 bod.

Vzhledem k tomu, že bezpečnostní obvody pro zajištění krytu v ochranné poloze a blokování nebezpečného pohonu při odjištěném krytu splňují požadavky kategorie 3 podle ČSN EN 954-1, lze přehodnotit i čtvrtý parametr (pravděpodobnost vzniku nebezpečné situace) z „velká“ na „malá“, čímž bodová hodnota rizika klesne na 0 bodů.

V tomto případě lze s jistotou prohlásit, že bezpečnostní opatření jsou dostatečná, neboť zcela vylučují počáteční riziko.

Poněkud komplikovanější je vyhodnocení bezpečnostních opatření, která jsou použita v seřizovacím režimu, kdy ochranný kryt a blokovací zařízení nejsou funkční.

Základním bezpečnostním opatřením v této existenční fázi je ovládací zařízení, které vyžaduje nepřetržité působení, tzv. tipovací ovládání (OTPR – ochrana technickými prostředky řízení). Nebezpečí stlačení nebo rozdrcení vzniká jen za předpokladu, že obsluha trvale působí na příslušný ovládač, je tedy možné odvodit, že za určitých podmínek (pokud obsluha na příslušný ovládač nepůsobí) je možné vyvarovat se nebezpečí. Následně je možné přehodnotit třetí parametr (možnost vyvarování se nebezpečí) ze „sotva možné“ na „za určitých podmínek možné“. Tím se sníží bodová hodnota rizika na 5 bodů.

Jako další bezpečnostní opatření je použita redukce rychlosti pohybu nebezpečné části (otáček příslušného pohonu) a povolení jen jednoho pohybu v dobře přehledném prostoru (OTPR – ochrana technickými prostředky řízení). Obsluha tak má možnost bez problému sledovat pomalý pohyb nebezpečné části a počínat si při práci tak, aby se nevystavovala nebezpečí stlačení nebo rozdrcení (prstů, ruky) při zavíracím pohybu této části proti jiné, pevné části stroje. Toto opatření je velmi účinné a umožňuje přehodnotit závažnost možného poškození zdraví (prvního parametru) z „těžké“ na „lehké“ (odření, říznutí, píchnutí, škrábnutí, spálení, naražení při úniku ze zavírajícího se prostoru). Bodová hodnota úrovně zbytkového rizika se tak sníží na 1 bod.

Na zbytkové riziko, i když je poměrně malé, musí být obsluha upozorněna v návodu na používání stroje. Po tomto opatření (UVNP – upozornění v návodu na používání) je možné přehodnotit čtvrtý parametr (pravděpodobnost vzniku nebezpečné situace) z „velká“ na „střední“, takže výsledná bodová hodnota rizika bude 0 bodů.

I v tomto případě je možné konstatovat, že použitá bezpečnostní opatření jsou dostatečná.

Před některými nebezpečími, např. před nebezpečím popálení se o horké třísky, nebezpečím uklouznutí, zakopnutí apod., není možná ochrana prostřednictvím OKTP nebo OTPR, a je nutné použít jiné způsoby ochrany (např. OOPP – ochrana osobními pracovními pomůckami nebo BSNS – bezpečnostní sdělení na stroji). V těchto případech obvykle zůstává i po použití všech vhodných bezpečnostních opatření dost vysoká úroveň zbytkového rizika, na kterou musí konstruktéři upozornit v návodu na používání stroje.

Závěr
Pravidelně a velmi často se setkávám s otázkou, proč by se konstruktéři elektrotechnici měli při své činnosti zabývat problematikou mechanických, tepelných a jiných neelektrických nebezpečí. Odpověď je velmi jednoduchá – projektanti elektrických zařízení strojů jsou obvykle první (často bohužel jediní) pracovníci, kteří musí problém posuzování rizika konstruovaného zařízení řešit, jestliže se snaží navrhovat řídicí obvody pro bezpečnostní funkce odpovědně a v souladu s požadavky aktuálních předpisů. A protože se většina manažerů (i v dobře řízených firmách) důsledně řídí heslem „kdo problém vytvořil, ať ho také vyřeší“, nezbývá elektrotechnikům nic jiného, než problém posuzování rizika skutečně řešit.

V mnohých firmách tak oddělení elektrokonstrukce nejen zpracovává dokumentaci o posuzování rizika a hodnocení účinnosti použitých bezpečnostních opatření, ale vytváří rovněž prohlášení o shodě, popř. dohlíží na konstrukci jiných než elektrických řídicích obvodů. V případě nezájmu nebo nepochopení u konstruktérů jiných profesí dochází často k tomu, že elektrická část bezpečnostních obvodů je navržena tak, že splňuje požadavky kategorie 4 podle ČSN EN 954-1, ale navazující pneumatická nebo hydraulická část splňuje pouze požadavky kategorie 1.

Tento stav věci jistě není dobrý, ale existuje, a projektanti elektrických zařízení nemohou přerušit svoji činnost a čekat, až se situace „nějak“ vyřeší. Proto se snažím publikovat vlastní zkušenosti z praxe projektanta elektrických zařízení strojů a pomáhat těm, kteří se ve složité bezpečnostní problematice teprve rozkoukávají.

V žádném případě není mým cílem problémy vymýšlet a zbytečně komplikovat už tak dost náročnou činnost projektantů elektrických zařízení průmyslových strojů. Domnívám se, že tento příspěvek může sice mnoha projektantům usnadnit jejich práci, zejména jestliže fungují jako „sám voják v poli“, a umožnit jim základní orientaci v celé problematice, dříve či později však tito osamocení pracovníci zjistí, že o řadě problémů je nutné kvalifikovaně diskutovat, pokud možno s co největším počtem kolegů elektrotechniků. Nejlepší by samozřejmě byla diskuse veřejná, ne každý je ale ochoten „nosit kůži na trh“, zvláště jedná-li se o věci tak nové, že v nich nemají jasno ani kontrolní orgány.

Vzhledem k tomu, že hodnocení rizika je vždy velmi subjektivní záležitostí, není možné, aby se této činnosti věnoval pouze jeden pracovník. Musí jít o týmovou spolupráci, nejlépe alespoň tří pracovníků, kteří detailně znají posuzované zařízení, jsou dokonale seznámeni (alespoň jeden z nich) se způsobem obsluhy stroje a ovládají (všichni) nějakou metodu posuzování rizika. Zároveň musí být tento tým schopen výsledky své práce zdokumentovat.

Projektování elektrických zařízení strojů, stejně jako posuzování rizika, je velmi odpovědná tvůrčí činnost, kterou mohou zvládnout jen vyhraněné a dynamické osobnosti s trvalým zájmem o sebevzdělávání a získávání nových informací z oblasti jejich profesní činnosti, navíc schopné týmové spolupráce. Je proto potěšitelné, že v mnoha firmách mohu spolupracovat s velmi mladými konstruktéry (většinou ve věku do 30 let), kteří problematiku posuzování rizika úspěšně zvládli a navíc je tato činnost baví. Této nové generaci projektantů přeji vytrvalost, trpělivost a také odpovídající ohodnocení.