Kdo již jednou zažil defekt pneumatiky automobilu, ví, jak to může být nepříjemné. Především na cestě na dovolenou, na důležitou schůzku nebo uprostřed noci na osamělé okresní silnici. Aby v takových případech bylo možné jet po omezenou dobu dál, vyvinul pneumatikárenský průmysl tzv. „pneumatiky runflat“, se kterými se za dodržování snížené rychlosti dá dojet k servisu v blízkosti cílového místa.
Do jaké míry lze tuto koncepci aplikovat na automatizované koncepce výroby, zejména v oblasti bezpečnostní techniky?
Bezpečný stav
Pokud u současných bezpečnostních koncepcí dojde k chybě významné z hlediska bezpečnosti, obvyklle se co nejrychleji vytvoří bezpečný stav i přesto, že většina bezpečnostních funkcí je redundantně dimenzována pro vyšší úroveň bezpečnostní integrity (SIL) nebo vyšší jakostní stupeň (PL).
Například při detekci příčného zkratu mezi dvěma kanály v obvodu snímače tlačítka nouzového zastavení se ihned zastaví nebezpečné pohyby.
Proto si pracovní skupina v rámci ZVEI za účasti různých členských firem a institutu položila otázku, do jaké míry je z normativního hlediska přípustné dočasné pokračování provozu automatizačního systému s chybou kritickou z hlediska bezpečnosti.
Provoz stroje v degradovaném stavu
U technologických zařízení je možné dokončit určité výrobní kroky s kritickými parametry procesu v závislosti na indikaci při výskytu chyby a zobrazeném stavu „degradovaného provozu“. Nejpozději při dosažení maximální přípustné doby provozu v „degradovaném stavu“ musí rozhodovací prvek zajistit bezpečný stav.
V rámci analýzy druhů chyb a dopadů se rozhoduje mezi dvěma typy chyb. U netolerovatelných chyb nelze zajistit další bezpečný provoz a stroj se musí okamžitě zastavit. Tolerovatelné chyby umožňují časově omezené pokračování provozu za předpokladu, že bezpečnostní funkci může správně provádět např. druhá nezávislá vypínací cesta.
Výpočet pravděpodobnosti výpadku
Relevantní normy EN ISO 13849 a IEC 62061 neobsahují žádné pokyny k požadavkům týkajícím se okamžité reakce na vzniklou chybu. Navíc i modely pro výpočet pravděpodobnosti výpadku (PFHd) ponechávají potřebný volný prostor k vytváření řešení, protože pravděpodobnost výpadku u redundantních architektur zpočátku zůstává na nízké úrovni a zvyšuje se až po určité době. V závislosti na posouzení rizik a kvalitě použitých opatření na zvládnutí chyb lze nastavit dobu do vypnutí „rozhodovacím prvkem“ maximálně na jeden týden. Alternativní metoda výpočtu, která je základem normy EN 62061, definuje diagnostický testovací interval, který představuje skutečně zanedbatelnou část PFHd.
Obě metody výpočtu však předpokládají, že realizace bezpečnostní funkce má dostatečnou rezervu výpadku a byly zohledněny požadavky týkající se chyby stejné příčiny (Common Cause Failure).
Kvalitativní průběh rizika
Doplňková bezpečnostní opatření
Jiný přístup slibuje myšlenka, že rozhodovací prvek v případě chyby aktivuje alternativní nebo doplňkové bezpečnostní mechanismy. Rozhodovací prvek tak může při monitorování bezpečnostně omezených rychlostí v systému pohonu (SLS dle normy EN 61800-5-2) v případě chyby způsobit, že bude povolený pouze provoz se sníženou rychlostí. Omezením rychlosti se sníží potřebná úroveň minimalizace rizik z PL d na PL c. Konkrétní oblasti použití se také nabízejí u autonomních dopravních systémů (FTS), u kterých je kontrola jízdní dráhy realizována prostřednictvím dimenzování ochranného pole laserového skeneru závislého na rychlosti.
Výhled
Autoři whitepaperu zveřejněného týmem ZVEI došli k závěru, že vyhodnocení popsaných opatření je v souladu s cíli ochrany směrnice o strojních zařízeních a není v rozporu s harmonizovanými normami EN ISO 13849 a EN 62061.
Pro přijetí bude rozhodující to, zda lze prostřednictvím možnosti „degradovaného provozu“ měřitelně zachytit užitek. Zejména s ohledem na rozrůstající se síťové propojení nabývá mimořádného významu diagnostická schopnost jednotlivých komponent pro dostupnost zařízení.
Aktivní zpětné hlášení chyb ve zpracovatelském průmyslu
Co zatím představuje ve strojírenství hudbu budoucnosti, je v mnoha oborech zpracovatelského průmyslu již současným stavem techniky. Bezpečné vazební moduly řady PSRmini jsou proto vybaveny aktivním zpětným hlášením chyb, které umožňuje nadřazené bezpečnostní řídicí jednotce SIS (Safety Instrumented System) vyhodnotit bezpečnost. To probíhá bez nutnosti digitálních vstupů pro zpětné snímání rozpojovacích kontaktů. Prostřednictvím aktivního zpětného hlášení chyb spojovacího relé dochází k rozladění impedance bezpečného digitálního výstupu. Rozhodnutí o dalším provozu nebo o zahájení alternativních reakcí na chybu tedy zůstává na procesoru bezpečnostního systému (SIS).
