Під час налагодження, регулювання, пошуку несправностей або очищення не завжди можливо зберегти всі захисні умови виробничого режиму машини без змін. Безпечний вибір режиму не перетворює такі особливі ситуації на неконтрольований «обхід захисту», а в межах визначеного процесу встановлює, хто може вибирати певний режим роботи, як перевіряється вибір і які функції безпеки залишаються активними в кожному режимі. Рішення Mode of Safe Operation від Bihl+Wiedemann дає змогу здійснювати попередній вибір через стандартний HMI, обмежувати права доступу за допомогою системи електронних ключів і безпечно виконувати фактичну активацію через Safety Monitor. Цей підхід не замінює оцінювання ризиків або перевірку для конкретної машини.
Які завдання вирішує безпечний режим роботи?
Під час автоматичного виробництва блокування дверей, світлові завіси та нерухомі огорожі відокремлюють оператора від небезпечних рухів. Під час регулювання оператору може знадобитися бачити заготовку, інструмент або механізм переміщення. Відчинити двері та зашунтувати датчик може здаватися швидким рішенням, проте тоді стає незрозуміло, за яких умов безпеки працює машина, а тимчасове рішення може перетворитися на постійний ризик. Безпечний вибір режиму визначає альтернативні умови роботи ще на етапі проєктування та активує їх лише з дозволеними функціями безпеки.
«Режим» — це не лише рецепт, що змінюється на HMI. Зі зміною режиму можуть змінюватися дозволений автоматичний запуск, швидкість руху, напрямок, вісь або зона; активні захисні пристрої; вимога керування з утриманням органу керування або використання пристрою дозволу; поведінка під час скидання та повторного запуску. Функції безпеки кожного режиму слід визначити окремими рядками, а якщо функція вимикається — чітко вказати, який захід зниження ризику її замінює. «Сервісний режим», у якому заради виробничих цілей вимикаються всі засоби захисту, не є безпечним вибором режиму.
| Питання проєктування | Безпечний підхід | Припущення, якого слід уникати |
|---|---|---|
| Де здійснюється вибір? | HMI показує користувачу попередній вибір; Safety Monitor перевіряє послідовність вибору та активує режим | Біт HMI сам по собі є безпечною командою |
| Хто може змінювати режим? | Рівень доступу обмежується електронним ключем або рівноцінним засобом керування доступом | Кожен, хто знає пароль, здатний керувати тим самим ризиком |
| Що відбувається, якщо рівень захисту знижується? | Застосовується захід, як-от безпечно обмежена швидкість, безпечний контроль нерухомості чи напрямку або пристрій дозволу | Ризик є прийнятним, оскільки технічне обслуговування триває недовго |
| Чи є кілька секцій? | Режим, межі та взаємодія із сусідньою зоною визначаються окремо для кожної секції | Уся лінія має одночасно працювати в одному режимі |
| Що відбувається після відновлення живлення або зв’язку? | Повторно перевіряються чинні права доступу та безпечний вибір; неочікуваному запуску запобігають | Останній режим може автоматично відновитися |
Послідовність вибору в рішенні Bihl+Wiedemann
На офіційній сторінці Mode of Safe Operation описано процес, за якого стандартна сенсорна панель показує користувачу лише ті режими, які можна активувати з поточними правами доступу. Коли користувач вибирає режим, ця перша дія є попереднім вибором. Safety Monitor перевіряє попередній вибір і знову показує користувачу перевірений результат. Після другого підтвердження користувачем відповідний режим активується в логіці безпеки. Такий процес зі зворотним зв’язком запобігає безпосередньому прийняттю помилкового дотику до екрана або невідповідності даних між HMI та монітором як безпечного вибору.
Bihl+Wiedemann зазначає, що за допомогою сертифікованого TÜV функціонального блока в ASIMON360 можна незалежно налаштувати п’ять різних режимів роботи для шести окремих секцій машини, а рішення може застосовуватися до рівня PL e включно. Ці кількості та рівень є характеристиками продукту; не кожна машина потребує п’яти режимів, а досягнення PL e не є автоматичним. Вибраний варіант Safety Monitor, зв’язок із HMI, авторизація, функції безпеки, польові пристрої та вихідний ланцюг перевіряються разом.
Авторизація та безпечний вибір — не одне й те саме
Система електронних ключів допомагає визначати різний доступ до режимів для таких груп користувачів, як техніки з обслуговування, налагоджувальники та виробничі оператори. На офіційній сторінці Bihl+Wiedemann пояснюється, що за допомогою системи електронних ключів Euchner EKS режимам можна призначити п’ять різних рівнів ключів. Права доступу дозволяють користувачу вибрати режим, а логіка Safety Monitor забезпечує правильне опрацювання вибору з погляду безпеки. Ці два завдання не замінюють одне одного.
Передавання ключа іншим особам, його втрата, невиймання наприкінці зміни або невнесення до системи змін у посадових обов’язках користувача є експлуатаційними ризиками. Матрицю прав доступу слід вести за іменами або ролями; необхідно встановити процедуру відкликання прав і контроль запасних ключів. На HMI мають бути видимі активний користувач, вибрана секція та активний режим. Водночас робота з персональними даними, реєстрація користувачів і політики віддаленого підключення мають відповідати правилам кібербезпеки підприємства.
Локальна безпека та контроль швидкості: BWU2852
BWU2852 — це Safety Basic Monitor із розширеними можливостями. На офіційній сторінці продукту пристрій описано як компактний контролер із локальними безпечними входами та виходами, Safe Link, діагностичним інтерфейсом Ethernet і функцією безпечного контролю нерухомості та швидкості за сигналами датчиків наближення (ініціаторів). Таке поєднання характеристик можна розглядати для функцій конкретної машини, наприклад контролю лише дозволеної низької швидкості за відчинених дверей у режимі налагодження. Допустимі для контролю швидкості входи, кількість осей і граничну частоту слід визначати за повним технічним паспортом.
Безпечно обмежена швидкість — це не встановлення малого значення стандартного завдання швидкості привода. Рух має вимірюватися незалежно або в межах відповідної архітектури, у разі перевищення межі безпечний вихід має вимикатися за визначений час, а механічний гальмівний шлях має бути прийнятним. Розраховуються кількість датчиків, структура каналів, передатне відношення, частота імпульсів та імовірність відмов зі спільною причиною. На сторінці продукту BWU2852 зазначено придатність до застосувань до категорії 4/PL e/SIL 3 включно; фактичний результат залежить від вибраної архітектури контролю швидкості та всього ланцюга безпеки.
Як формувати дозвіл на рух під час зміни режиму?
Наприклад, після попереднього вибору режиму «налагодження» Safety Monitor може спільно оцінювати права доступу, підтвердження вибору, стан відповідних дверей, пристрій дозволу та сигнал готовності контролю швидкості. У логіці конкретної машини визначається заборона розблокування дверей до підтвердження безпечно обмеженої швидкості або вимкнення безпечного виходу в разі перевищення межі швидкості. Сам факт активного режиму не повинен формувати команду руху; стандартне керування та додаткові умови підтвердження залишаються окремими.
Під час повернення з цього режиму до виробництва перевіряють, що всі засоби захисту знову активні, двері зачинені й заблоковані, а в небезпечній зоні не залишилося тимчасово встановленого інструменту або персоналу. Підтвердження користувача може бути лише однією з умов функції скидання; скидання не повинно автоматично запускати небезпечний рух. Цю поведінку слід чітко відобразити в тексті HMI та інструкції для оператора.
Безпечний контроль швидкості та положення за енкодером: BWU2849
У деяких машинах прості імпульси датчика наближення не дають змоги контролювати межу швидкості або положення з достатньою роздільною здатністю. В офіційних даних продукту BWU2849 описано як модульний ASi Speed Monitor із підтримкою сигналів енкодерів sin/cos, TTL та SSI. Він має два швидкодійні електронні безпечні вихідні кола та два роз’єми RJ45 для енкодерів; у відповідних конфігураціях sin/cos або TTL можливий контроль до двох осей. У технічному паспорті виробника зазначено, що для використання SSI у застосуванні безпеки обов’язково потрібен другий енкодер як опорний; у такому разі обидва порти енкодерів можуть використовуватися для однієї безпечної осі. Підтримуваний тип сигналу, живлення енкодера, кабелі-перехідники та спосіб паралельного знімання сигналу для привода керування слід перевіряти за повною інструкцією до продукту.
Разом із безпечним вибором режиму можна визначати такі умови, як діапазон положення, напрямок, нерухомість або низька швидкість. Наприклад, ручний рух може дозволятися лише в певній механічній зоні та за зниженої швидкості. Проте цей приклад не означає, що BWU2849 самостійно забезпечує всі функції в кожній машині. Функції безпечного руху, вибрана архітектура енкодерів, поведінка привода, конфігурація монітора та вплив безпечних виходів на виконавчий механізм перевіряються разом.
Централізований вибір у багатосекційних машинах: BWU3961
BWU3961 — варіант шлюзу з двома майстрами ASi-5/ASi-3, інтерфейсом POWERLINK та інтегрованим ASi-5/ASi-3 Safety Monitor. В офіційному технічному паспорті для цього пристрою наведено підтримку Mode of Safe Operation, Safe Link, залежно від конфігурації — шість одноканальних або три двоканальні безпечні входи, окремі від них шість електронних безпечних виходів, сервер OPC UA, REST API та вебдіагностику. Такий шлюз можна розглядати для відображення вибору режиму через HMI в системі керування верхнього рівня зі збереженням безпечної активації в інтегрованому моніторі.
Дві мережі ASi можуть допомогти розділити польові пристрої на фізичні та логічні групи в довгих або секційних машинах. Для рішення Bihl+Wiedemann заявлено підтримку до шести незалежних екземплярів вибору режиму; чи може одна секція залишатися у виробничому режимі, коли інша перебуває в режимі налагодження, знову ж таки визначається оцінюванням ризиків. Якщо в зоні передавання є спільний рух, можливість падіння матеріалу, затискання або доступу сусіднього робота, зони не можна вважати повністю незалежними. Необхідні взаємні дозволи слід реалізувати через Safe Link або локальні безпечні сигнали.
Роль стандартного HMI в системі безпеки
Рішення допускає використання стандартного HMI; його перевага полягає в можливості зрозуміло показувати оператору схему машини, назви секцій та активний режим. HMI перелічує режими, доступні для вибору з поточними правами, надсилає попередній вибір і повторно показує вибір, перевірений Safety Monitor. Оскільки безпечна активація відбувається в моніторі, сама панель HMI не вважається контролером безпеки.
У проєктуванні інтерфейсу слід використовувати чіткі формулювання замість схожих назв і кольорів. Замість неоднозначних заголовків на кшталт «Ручний 1» і «Ручний 2» можна віддати перевагу назвам за призначенням, як-от «Налагодження пресформи — низька швидкість» або «Очищення — рух заборонено». Активний режим, вибрана секція та захисні умови, що залишаються чинними, мають бути постійно видимі. Якщо попередній вибір на сенсорному екрані відрізняється від фактично активного режиму, користувач має чітко бачити цю різницю.
Функціональний блок і керування версіями в ASIMON360
Функція Mode of Safe Operation активується в конфігурації ASIMON360; доступні для вибору режими зіставляються з рівнями доступу, а відповідний блок MSO використовується в логіці безпеки. Згідно з офіційною сторінкою, можна довільно налаштувати вибір до п’яти режимів і шість окремих екземплярів. З’єднання блоків, активні функції безпеки та виходи кожного режиму слід порівняти з матрицею вимог. Зміна назви секції в скопійованому екземплярі не доводить, що з’єднання безпеки змінено правильно.
Файл конфігурації, мікропрограму пристрою, екран HMI та таблицю прав користувачів слід об’єднувати в один пакет змін. Якщо назву режиму змінено в HMI, але в логіці безпеки збережено його старе значення, це може призвести до серйозної помилки користування. Контрольну суму затвердженої версії, носій резервної копії пристрою та процедуру відновлення слід документувати. Після змін перевіряють не лише відкриття нового екрана, а й повторно випробовують усі переходи між режимами, яких торкнулися зміни.
Перехідні стани не менш важливі, ніж самі режими
Під час переходу від виробництва до налагодження, від налагодження до технічного обслуговування або від зонального режиму до загальної зупинки система не повинна навіть короткочасно перебувати в невизначеному стані. Під час попереднього вибору умови безпеки попереднього режиму залишаються чинними; новий режим активується лише після завершення перевірки Safety Monitor і підтвердження користувачем. У разі перевищення часу очікування, суперечливого запиту або втрати зв’язку попередній вибір має скасовуватися, а машина — залишатися у визначеному безпечному стані.
Необхідність негайного скасування активного режиму після виймання електронного ключа визначається конкретним застосуванням. На деяких машинах негайне скасування забезпечує безпечну зупинку, тоді як в іншому процесі може створити додаткову небезпеку. Так само відновлення останнього режиму з пам’яті після відновлення живлення може бути недоцільним. Правильна поведінка визначається аналізом ризиків, експлуатаційною процедурою та конфігурацією, яку допускають функції виробника; результати випробувань враховуються в навчанні операторів.
Сценарії відмов для FAT і SAT
- Несанкціонований вибір: Перевіряється, що за недостатнього рівня повноважень заборонені режими не відображаються або не можуть бути активовані.
- Неправильна секція: Перевіряється, що вибір для однієї секції не спричиняє неочікуваної зміни функцій безпеки в сусідній секції.
- Втрата попереднього вибору: Зв’язок із HMI переривається між попереднім вибором і підтвердженням; система має залишатися в попередньому безпечному стані.
- Перевищення швидкості: У режимі налагодження контрольовано перевищують установлену безпечну межу швидкості та вимірюють реакцію безпечного виходу.
- Несправність датчика: Перевіряється очікувана безпечна поведінка в разі несправності каналу енкодера, безконтактного датчика, вимикача дверей або пристрою дозволу.
- Втрата повноважень: Випробовуються сценарії виймання електронного ключа, використання недійсного ключа та скасування доступу користувача.
- Відновлення живлення: Перевіряється відсутність автоматичного руху під час увімкнення HMI, шлюзу, Safety Monitor і польових модулів у різній послідовності.
- Невідповідність версій: Поєднання різних версій HMI та конфігурації безпеки виявляється системою або не допускається процедурою введення в експлуатацію.
Контрольний список для проєкту та комерційної пропозиції
- Призначення кожного режиму роботи, дозволені рухи, активні захисні пристрої та заборонені операції
- Необхідні цільові рівні PLr/SIL, безпечний стан, час реакції та компенсувальні заходи для кожного режиму
- Секції машини, спільні небезпеки, точки передачі та безпечні дозвільні сигнали між зонами
- Послідовність попереднього вибору на HMI, зворотний зв’язок щодо перевірки, двоетапне підтвердження та поведінка після перевищення часу очікування
- Ролі користувачів, рівні доступу електронних ключів, процедура в разі втрати/анулювання та журнали подій
- Повний код виробу Safety Monitor або шлюзу, мережі ASi, Safe Link та інтерфейс польової шини вищого рівня
- Датчик або енкодер для контролю безпечної швидкості/зупинки/положення, механічні передатні відношення, роздільна здатність і реакція на несправність
- Узгодженість версій проєктів ASIMON360, HMI та PLC, резервне копіювання та керування змінами з контролем повноважень
- Імітація відмов під час FAT/SAT, виміряний час зупинки, навчання операторів і періодичні випробування
Мета безпечного вибору режиму — не ускладнити технічне обслуговування, а зробити роботу поза виробничим режимом прозорою та контрольованою. Рішення Bihl+Wiedemann може поєднувати стандартну HMI, авторизацію, Safety Monitor і, за потреби, безпечний контроль руху в єдиній архітектурі. Однак необхідний результат щодо безпеки досягається лише за наявності матриці режимів для конкретної машини, правильних варіантів виробів і валідації, що охоплює також перехідні стани.
