Cosa richiede realmente la norma ISO 13849 per le funzioni di avvio, arresto e reset

La maggior parte dei team fraintende la norma ISO 13849 prima che il primo filo venga posato.

Ecco la trappola.

Essi trattano “start”, “stop” e “reset” come tre normali verbi del pannello di controllo, mentre la ISO 13849-1:2023 pone in realtà una domanda più fredda: quali di queste azioni fanno parte di una funzione di sicurezza, quale Performance Level richiesto (PLr) è stato assegnato dalla valutazione del rischio e le parti del sistema di controllo legate alla sicurezza, l'SRP/CS, possono dimostrare questo comportamento in condizioni di guasto?

Questo cambia tutto, non è vero?

La pagina dell'ISO per ISO 13849-1:2023 Lo standard copre la progettazione e l'integrazione delle parti dei sistemi di controllo legate alla sicurezza che svolgono funzioni di sicurezza, compreso il software, attraverso tecnologie elettriche, idrauliche, pneumatiche e meccaniche. Dice anche qualcosa che gli acquirenti ignorano abitualmente: La ISO 13849-1 non non specificare le funzioni di sicurezza o i PLr richiesti per una determinata macchina. Ciò deriva dalla valutazione del rischio, dagli standard di tipo C, dalla progettazione della macchina e dal pericolo effettivo.

Quindi, quando qualcuno dice: “La ISO 13849 richiede un pulsante di reset?”, la mia risposta è di solito: domanda sbagliata.

La domanda migliore è questa: Dopo un arresto di protezione, un intervento di interblocco, un'interruzione della barriera fotoelettrica, un arresto di emergenza, una perdita di potenza o un guasto, la macchina può riavviarsi in modo da esporre una persona a movimenti pericolosi?

In caso affermativo, il reset non è un bottoncino educato. Fa parte dell'argomento sicurezza.

Lo standard non sta benedicendo i vostri pulsanti

Ho un'opinione forte in merito: troppi pannelli di controllo sono costruiti come se il progettista avesse copiato un vecchio layout e poi ci avesse spruzzato sopra le etichette di sicurezza. Avvio verde. Arresto rosso. Reset blu. Forse un selettore a chiave, se il budget è sufficiente per l'acquisto.

Teatro di qualità.

Ma i requisiti della norma ISO 13849 non riguardano il colore, le targhette o il fatto che il cappuccio del pulsante abbia un aspetto “sufficientemente industriale”. Lo standard si preoccupa della funzione di sicurezza: l'ingresso del sensore, l'elaborazione logica, la commutazione dell'uscita, il rilevamento dei guasti, la copertura diagnostica, la resistenza ai guasti per cause comuni, il tempo di risposta e le prove di convalida.

Ciò significa che un pulsante di avvio è di solito non una funzione di sicurezza di per sé. Una funzione di arresto può esserlo. Una funzione di ripristino diventa spesso legata alla sicurezza quando ripristina l'autorizzazione a funzionare dopo una richiesta di sicurezza.

Il riassunto della DGUV sulla quarta edizione della norma EN ISO 13849-1 indica che le specifiche dei requisiti di sicurezza devono includere elementi quali lo stato di sicurezza, il PLr, il tempo di risposta consentito, le modalità operative attive, le interfacce macchina-controllo, il comportamento dopo la perdita di energia e le condizioni che consentono il riavvio dopo la richiesta di una funzione di sicurezza. Si afferma inoltre che il reset manuale richiede ora un cambiamento di segnale monitorato - in pratica, un fronte di salita o di discesa - per ridurre l'uso improprio prevedibile nel sistema di sicurezza. Sintesi della quarta edizione del DGUV.

L'ultima frase è importante.

Un contatto di reset saldato mantenuto permanentemente alto non deve autorizzare silenziosamente il riavvio. Un ingresso di reset bloccato non deve diventare un ponte magico attorno a un pericolo. E una stazione di reset all'interno della zona di pericolo? Non mi interessa l'aspetto ordinato dello schema elettrico; è così che le macchine difettose vengono difese da bei disegni.

Start, Stop e Reset: La tabella che nessuno vuole nella revisione del progetto

Prima che qualcuno discuta sulla Categoria 3 contro la Categoria 4, o sul PL d contro il PL e, costringete il team a definire cosa fa effettivamente ogni funzione. Userei questa tabella nella prima revisione del progetto, non nell'ultima.

Funzione	Cosa si pensa che significhi	Cosa vi obbliga a chiedere la ISO 13849	Rischio tipico della progettazione	Prove che mi aspetterei
Avvio / Riavvio	“Eseguire la macchina”	Un comando di avvio può creare un movimento pericoloso dopo che è stata richiesta una funzione di sicurezza?	Il comando di avvio raddoppia come permesso di riavvio involontario	Valutazione del rischio, logica di funzionamento, progettazione di interblocchi di riavvio, test di convalida
Funzione di arresto di sicurezza	“Fermarsi quando non è sicuro”	Quale stato di sicurezza deve essere raggiunto, entro quale tempo di risposta, a quale PLr?	Il percorso di arresto dipende da un singolo contattore o valvola non monitorato	Calcolo del PL, test del tempo di arresto, DCavg, MTTFD, punteggio CCF, esclusioni di guasti
Funzione di reset manuale	“Cancellare l'allarme”	Il reset ripristina la prontezza delle funzioni di sicurezza senza avviare un movimento pericoloso?	Il reset diventa un comando di avvio indiretto	Ripristino del bordo monitorato, posizione di ripristino esterna, visibilità della zona di pericolo
Arresto di emergenza	“Grande pulsante rosso”	Annulla l'avvio e mantiene l'arresto fino alla sequenza deliberata di reset/riavvio?	Il reset dell'E-stop riavvia la macchina o maschera un guasto	IEC 60204-1 revisione logica, record di convalida, procedura di test periodici
Interruzione della barriera fotoelettrica	“Trave rotta, macchina ferma”	Il percorso OSSD raggiunge il PLr richiesto e impedisce il riavvio automatico?	Il campo protettivo si libera e la macchina si riavvia mentre una persona è ancora esposta.	Distanza di sicurezza, tempo di risposta, cablaggio OSSD, blocco del riavvio

Versione breve? No.

Il comando di avvio non può diventare una scappatoia per aggirare un requisito di sicurezza e il reset non può comportarsi come un “avvio con maniere migliori”, soprattutto su macchine in cui una persona può trovarsi ancora all'interno di un'area protetta, per eliminare un inceppamento, sporgersi da un cancello o stare dietro a un punto di accesso su più lati.

Questo è il punto in cui un vero selezione della barriera fotoelettrica di sicurezza della macchina La discussione va ben oltre la scelta del passo del fascio e dell'altezza di protezione. Se il dispositivo interrompe solo il movimento ma la logica di riavvio è approssimativa, l'hardware ottico viene incolpato di un guasto ai controlli.

La dura verità sulle funzioni di arresto legate alla sicurezza

Una funzione di arresto di sicurezza non è la stessa cosa che premere l'arresto sull'HMI.

Deve portare la macchina in uno stato di sicurezza definito quando viene richiesta la funzione di sicurezza e deve soddisfare il PLr assegnato per il rischio. Ciò può significare canali ridondanti, contattori monitorati, logica PLC di sicurezza, disattivazione sicura della coppia, valvole idrauliche di scarico, scarico pneumatico, freni meccanici o una combinazione di questi elementi.

OSHA Guida alla salvaguardia delle macchine Il testo della Commissione europea chiarisce il punto più ampio con un linguaggio normativo più semplice: la protezione protegge i lavoratori dalle aree pericolose delle macchine e il lockout/tagout deve integrare la protezione durante l'assistenza e la manutenzione. Questa non è la terminologia ISO, ma la sovrapposizione pratica è evidente. Una funzione di arresto che funziona durante la produzione potrebbe non proteggere i lavoratori durante la rimozione degli inceppamenti, la regolazione, la pulizia o la manutenzione.

Ho visto ripetere lo stesso errore nei fascicoli di incidenti: le persone progettano per il ciclo normale, poi si sorprendono quando l'infortunio si verifica durante un lavoro anomalo.

Certo che sì.

Le macchine danneggiano le persone durante le operazioni di azzeramento, recupero, cambio formato, bypass, riavvio e “solo una regolazione veloce”. È proprio per questo che i requisiti ISO 13849 per il ripristino dell'avvio e dell'arresto devono essere legati alle modalità operative, all'uso improprio prevedibile e al comportamento della manutenzione, non solo al ciclo automatico.

Se una protezione si apre, una barriera fotoelettrica scatta o un tappeto di sicurezza rileva una presenza, la macchina non deve semplicemente fermarsi. Deve arrestarsi attraverso un percorso di controllo legato alla sicurezza che continui a comportarsi in caso di guasti credibili.

Questo è il confine tra una funzione di controllo industriale e una funzione di sicurezza.

Il reset è il luogo in cui si nascondono i cattivi progetti

Il reset sembra innocuo. Non lo è.

Una funzione di sicurezza a ripristino manuale ai sensi della norma ISO 13849 deve ripristinare la funzione di sicurezza dopo che la causa dell'arresto è stata rimossa; non deve avviare da sola un movimento pericoloso. Lo ripeto ancora una volta perché è la frase che metterei sulla parete di ogni quadreria: reset prepara; avvia i comandi.

Una funzione di reset ISO 13849 adeguata richiede solitamente quattro elementi:

1. La condizione di pericolo è stata eliminata.
2. Il dispositivo di ripristino si trova al di fuori dell'area di pericolo.
3. L'operatore può verificare che la zona di pericolo sia libera.
4. L'ingresso di reset viene monitorato come una modifica intenzionale del segnale, non come un permissivo permanente.

Ecco perché la stazione di ripristino è importante nelle macchine a più ingressi. Se una persona può stare dietro la tenda, intorno all'apparecchio o all'interno della cella mentre un'altra persona esegue il reset da una postazione cieca, non c'è un problema di reset. Si tratta di un problema di corpo in zona.

Per le macchine con più punti di accesso, un barriera fotoelettrica di protezione dell'accesso su più lati può ridurre i percorsi di avvicinamento ciechi, ma non è ancora in grado di riparare la cattiva logica di riavvio. L'hardware vede. La logica decide.

E la logica è il punto in cui le aziende vengono esposte.

Casi di studio: Il settore continua a ripetere la stessa lezione

Smettiamola di fingere che si tratti di teoria.

Il 26 agosto 2022, secondo un'analisi di Fascicolo di infortunio OSHA su una macchina per legname Sharp Chain modello 3916-001, Un operaio di 44 anni è entrato nella macchina per eliminare un'ostruzione in corrispondenza di un sensore di lenti fotoelettriche/testina del profilatore. Quando l'ostruzione è stata rimossa, la macchina si è attivata. L'operaio è rimasto bloccato e schiacciato tra il profilatore e il telaio ed è morto a causa delle lacerazioni della lama e del trauma da corpo contundente.

Questa è la logica di avvio/riavvio scritta col sangue.

Il 9 maggio 2021, l'OSHA ha registrato un altro caso di riavvio automatico in cui un dipendente ha cercato di riavviare un'aggraffatrice meccanica automatizzata dopo un disallineamento del prodotto. La barriera fotoelettrica è stata disattivata, la macchina si è riattivata e la mano sinistra del dipendente è rimasta impigliata nella lama di taglio, causando l'amputazione del dito indice, secondo quanto riportato nel documento. Dettaglio degli infortuni OSHA per la cucitrice meccanica automatizzata.

Macchina diversa. Stesso modello.

E poi c'è la United Hospital Supply. L'OSHA ha dichiarato che i supervisori e i dipendenti hanno deliberatamente aggirato una barriera fotoelettrica della pressa piegatrice prima che un lavoratore del primo giorno subisse l'amputazione di tre dita. L'azienda ha dovuto affrontare $498.464 di sanzioni proposte ed è stata inserita nel Programma di applicazione per gravi violazioni, secondo quanto riportato dall'OSHA. 17 maggio 2023 United Hospital Supply release.

Questo dovrebbe far tacere ogni conversazione sul “bypass temporaneo”.

Nel 2023, il BLS ha registrato 226 infortuni mortali in cui i lavoratori sono stati colpiti, catturati o compressi da attrezzature motorizzate in funzione; 48 di questi hanno riguardato la manutenzione, la pulizia o il collaudo, e 53 hanno coinvolto lavoratori catturati o impigliati in attrezzature motorizzate in funzione. BLS CFOI Tabella A-9 per il 2023. Non si tratta di rari casi limite. Sono un modello industriale con fatture, citazioni, amputazioni, funerali e avvocati annessi.

Requisiti ISO 13849: Cosa dovrebbe dire in realtà l'SRS

La specifica dei requisiti di sicurezza (SRS) è il punto in cui i team diventano onesti o iniziano a costruire una finzione.

Per le funzioni di avvio, arresto e ripristino, mi aspetto che l'SRS definisca:

• Pericolo per la macchina: schiacciamento, cesoiamento, impigliamento, taglio, trascinamento, impatto, esposizione di persone intrappolate.
• Evento scatenante: guardia aperta, OSSD disattivato, E-stop premuto, perdita di pressione, guasto del servo, guasto dell'interblocco, cambio di modalità, ripristino dell'alimentazione.
• Stato di sicurezza: STO attivo, pressione idraulica rimossa, energia pneumatica esaurita, freno inserito, movimento arrestato, utensile trattenuto, velocità pericolosa ridotta.
• PLr: PL c, PL d o PL e, in base alla valutazione del rischio.
• Architettura: Categoria B, 1, 2, 3 o 4.
• Copertura diagnostica: Valore DCavg e metodo di monitoraggio.
• Presupposti MTTFD: contattore B10d, dati della valvola, dati del relè, dati del sensore, cicli operativi.
• Punteggio CCF: separazione, diversità, protezione dalla contaminazione, EMC, sovratensione, formazione, revisione del progetto.
• Tempo di risposta: risposta del sensore + logica di sicurezza + dispositivo di uscita + tempo di arresto della macchina.
• Comportamento del reset: innescato dal bordo, intenzionale, visibile dalla posizione di sicurezza, nessun movimento pericoloso per il solo reset.
• Condizioni di riavvio: comando di avvio separato, azzeramento della zona, ripristino di tutte le funzioni di sicurezza, azzeramento dei guasti.

Non si tratta di pratiche burocratiche per il gusto di farlo. È il modo in cui si impedisce che una revisione del progetto diventi una lotta di opinione.

Se state specificando una protezione ottica, iniziate dal rischio. La protezione delle dita può spingere verso una risoluzione di 10 o 14 mm. La protezione delle mani può consentire una risoluzione più ampia, a seconda della distanza e del rischio. Per i punti di accesso più piccoli o per i macchinari di precisione, una barriera fotoelettrica di alta precisione può essere giustificata una discussione. Per le presse, i macchinari idraulici e gli ampi punti di accesso, un barriera fotoelettrica per macchine pesanti potrebbe adattarsi meglio alla realtà meccanica.

Ma non bisogna confondere la selezione dei prodotti con la progettazione della sicurezza funzionale.

Una barriera fotoelettrica di tipo 4 collegata a una catena di ripristino/riavvio mal progettata è come un casco con la mentoniera tagliata. Sembra responsabile fino all'impatto.

I team di approvvigionamento dei dettagli dell'OSSD continuano a mancare

Le uscite OSSD non sono decorative.

Una barriera fotoelettrica di sicurezza doppia OSSD può alimentare un relè di sicurezza o un PLC di sicurezza con segnali ridondanti e monitorati. Questo è importante quando l'obiettivo della funzione di sicurezza è abbastanza elevato da richiedere il rilevamento e la tolleranza ai guasti. È uno dei motivi per cui un Barriera fotoelettrica di sicurezza a doppia uscita con ridondanza OSSD è da inserire nella conversazione quando il rischio macchina punta verso un PLr più elevato.

Ma ecco la cattiva abitudine del settore: gli appalti chiedono l'OSSD e poi ignorano il resto dell'SRP/CS.

L'OSSD da solo non dà PL e. Un PLC di sicurezza da solo non dà PL e. Un relè con una custodia gialla non dà PL e. L'intera catena conta: ingresso, logica, uscita, cablaggio, diagnostica, presupposti ambientali, convalida e disciplina di manutenzione.

Per questo motivo il sito stesso confronta i dati di Barriere fotoelettriche di sicurezza vs. barriere fotoelettriche non di sicurezza è un utile collegamento interno. La distinzione non è estetica. Una categoria di dispositivi è destinata a rilevare le cose. L'altra ha lo scopo di aiutare a tenere le persone lontane da movimenti pericolosi, se opportunamente integrata.

Tipo 2, tipo 4, PLr e la menzogna del costo al ribasso

Ecco la mia opinione controversa: molti dibattiti tra Tipo 2 e Tipo 4 non sono dibattiti tecnici. Sono pressioni sui costi che indossano un costume da ingegnere.

Se la lesione credibile è lieve, l'esposizione è controllata e la valutazione del rischio la supporta, le funzioni di sicurezza a prestazioni inferiori possono essere valide. Ma se la lesione credibile è l'amputazione, lo schiacciamento o la morte, voglio vedere un'argomentazione scritta molto seria prima che qualcuno si abbassi.

La guida interna su Barriere fotoelettriche di sicurezza di tipo 2 e 4 La ISO 13849 si adatta naturalmente a questo caso, perché non chiede “quale dispositivo è più economico?”. Chiede se la funzione di sicurezza raggiunge il PLr.

E PLr non è una vibrazione.

Si ricava dalla gravità del danno, dalla frequenza o dalla durata dell'esposizione e dalla possibilità di evitare il pericolo. Una volta stabilito il PLr, il progetto SRP/CS deve raggiungerlo attraverso l'architettura, il MTTFD, il DCavg e i controlli CCF.

Ciò significa che le logiche di avvio, arresto e ripristino non possono essere valutate isolatamente. Devono essere valutate come comportamento all'interno della funzione di sicurezza.

Cosa significa “richiede davvero” nel linguaggio dell'officina

Che cosa richiede la norma ISO 13849 per le funzioni di avvio, arresto e ripristino?

Richiede prove, non speranze.

Per una funzione di arresto di sicurezza, è necessario uno stato di sicurezza definito e un'architettura di controllo che raggiunga il PLr richiesto. Per una funzione di reset manuale, è necessaria un'azione deliberata che ripristini la prontezza senza avviare un movimento pericoloso. Per una funzione di avvio/riavvio, è necessario impedire un riavvio inatteso o automatico dopo una richiesta di sicurezza, a meno che le condizioni di ripristino e avvio non siano intenzionalmente soddisfatte.

Questa è la versione ridotta.

La versione più profonda è più brutta: è necessario progettare contro l'operatore che elimina un inceppamento alle 2:00 di notte, il supervisore che vuole che la linea torni in funzione, il tecnico che registra un sensore “solo per prova”, l'integratore che presume che il programma PLC sia un problema di qualcun altro e l'acquirente che pensa che la citazione della barriera fotoelettrica sia il piano di sicurezza.

Non lo è.

Se la macchina è in grado di riavviarsi dopo l'eliminazione di un blocco, dopo il ripristino dell'alimentazione, dopo la chiusura di un riparo o dopo il ripristino di un campo di barriere fotoelettriche senza una sequenza di sicurezza intenzionale, la norma ISO 13849 non rappresenta il problema principale. Lo è la fisica.

Domande frequenti

Quali sono i requisiti ISO 13849 per le funzioni di avvio, arresto e ripristino?

I requisiti ISO 13849 per le funzioni di avvio, arresto e ripristino sono compiti di progettazione e convalida del comportamento di controllo legato alla sicurezza, che richiedono al costruttore della macchina di definire ogni funzione di sicurezza, assegnare PLr, progettare l'SRP/CS, verificare la risposta ai guasti e impedire che la logica di ripristino o riavvio crei un movimento pericoloso.
In pratica, il pulsante di avvio non deve annullare una richiesta di sicurezza, la funzione di arresto deve raggiungere lo stato di sicurezza definito e il reset deve ripristinare l'autorizzazione solo dopo che la condizione di pericolo è stata eliminata.

Una funzione di reset è sempre legata alla sicurezza secondo la norma ISO 13849?

Una funzione di reset è legata alla sicurezza quando ripristina o abilita una funzione di sicurezza dopo un arresto di protezione, un guasto, un intervento di interblocco, un'interruzione della barriera fotoelettrica o un arresto di emergenza, in particolare quando un reset improprio potrebbe consentire un movimento pericoloso o esporre una persona all'interno dell'area di pericolo.
Se il reset cancella solo un messaggio diagnostico non di sicurezza, potrebbe non far parte dell'SRP/CS. Ma se il reset influisce sull'autorizzazione al riavvio, è bene trattarlo con sospetto e documentarne la logica.

Una macchina può riavviarsi automaticamente dopo la chiusura di una barriera fotoelettrica?

Una macchina non deve riavviarsi automaticamente dopo lo spegnimento di una barriera fotoelettrica quando una persona potrebbe essere ancora esposta a movimenti pericolosi, perché il riavvio richiede normalmente la conferma della zona di sicurezza, il ripristino della funzione di sicurezza e un'azione di avvio deliberata separata dopo un eventuale ripristino manuale.
Questa è la differenza tra “il raggio è libero” e “la macchina è sicura di funzionare”. Non sono la stessa frase.

Qual è la differenza tra arresto e arresto di emergenza nella progettazione ISO 13849?

L'arresto di sicurezza è una funzione di sicurezza definita che porta la macchina in uno stato di sicurezza in condizioni e PLr specifici, mentre l'arresto di emergenza è una funzione di protezione supplementare destinata all'intervento umano urgente e non deve sostituire una protezione adeguata o la normale riduzione del rischio.
In un buon progetto, le funzioni di arresto prevalgono sulle funzioni di avvio correlate, ma l'arresto di emergenza non deve essere utilizzato come arresto principale della produzione o come compensazione per una scarsa protezione.

Quali documenti attestano la conformità alla norma ISO 13849 per la logica di reset e riavvio?

La conformità alla norma ISO 13849 per la logica di reset e riavvio è normalmente supportata da una valutazione dei rischi, dalle specifiche dei requisiti di sicurezza, dalla determinazione del PLr, dall'architettura SRP/CS, dai dati sull'affidabilità dei componenti, dalle ipotesi di copertura diagnostica, dal punteggio CCF, dagli schemi circuitali, dalla revisione del software, dai test di convalida e dai controlli registrati del comportamento di riavvio.
Se il file non è in grado di mostrare il comportamento del reset dopo guasti, interruzione dell'alimentazione, apertura della protezione, interruzione dell'OSSD e cambio di modalità, non è finito. È solo assemblato.

Il prossimo passo da compiere prima che la macchina possa votare

Non iniziate a chiedere una tenda fotoelettrica più economica.

Iniziare a scrivere la funzione di sicurezza.

Definite il pericolo, lo stato di sicurezza, il PLr, il tempo di arresto, la sequenza di reset, le condizioni di riavvio, le modalità operative, i punti di accesso e i test di prova. Quindi scegliete l'hardware in grado di supportare tale progetto: relè di sicurezza, PLC di sicurezza, contattori, valvole, azionamenti STO, barriere fotoelettriche OSSD, interblocchi o protezioni multi-side.

Se il team sta già esaminando una macchina con un comportamento di avvio/riavvio poco chiaro, utilizzare il metodo interno risorse per la selezione dei dispositivi di sicurezza e poi richiedere una revisione ingegneristica tramite Pagina di contatto della tenda di sicurezza. Riportare il layout della macchina, i dati relativi ai tempi di arresto, l'altezza di protezione richiesta, la risoluzione, il campo di rilevamento, il tipo di uscita, la tensione, i requisiti dei cavi e il mercato di destinazione.

Perché la verità è semplice: Alla ISO 13849 non interessa che la macchina “di solito funziona”. Si preoccupa di cosa accade quando la cosa sbagliata accade nel momento sbagliato.