В последние несколько лет микропроцессоры играют все возрастающую роль в области техники безопасности. Поскольку целые компьютеры (т. е. центральный процессор, память и периферийные компоненты) теперь доступны в одном компоненте как «одночиповые компьютеры», микропроцессорная технология используется не только для управления сложными машинами, но и для защиты относительно простой конструкции. (например, световые решетки, устройства двуручного управления и защитные кромки). Программное обеспечение, управляющее этими системами, включает от одной тысячи до нескольких десятков тысяч одиночных команд и обычно состоит из нескольких сотен программных ветвей. Программы работают в режиме реального времени и в основном написаны на языке ассемблера программистов.

Внедрение автоматизированных систем в области техники безопасности сопровождалось во всех крупномасштабных технических средствах не только дорогостоящими НИОКР, но и существенными ограничениями, направленными на повышение безопасности. (Аэрокосмическая технология, военная технология и технология атомной энергии могут быть приведены здесь в качестве примеров крупномасштабного применения.) Коллективная область промышленного массового производства до сих пор рассматривалась лишь очень ограниченно. Отчасти это происходит по той причине, что быстрые циклы инноваций, характерные для проектирования промышленных машин, затрудняют передачу, за исключением очень ограниченного, знания, которое может быть получено в результате исследовательских проектов, связанных с окончательным тестированием крупномасштабных машин. устройства для обеспечения безопасности. Это делает разработку быстрых и недорогих процедур оценки необходимой (Reinert and Reuss, 1991).

В этой статье сначала рассматриваются машины и оборудование, в которых компьютерные системы в настоящее время выполняют задачи по обеспечению безопасности, на примерах несчастных случаев, происходящих преимущественно в области защиты машин, чтобы показать особую роль, которую компьютеры играют в технологиях безопасности. Эти несчастные случаи дают некоторое представление о том, какие меры предосторожности должны быть приняты, чтобы компьютеризированное оборудование для обеспечения безопасности, которое в настоящее время получает все более широкое распространение, не привело к увеличению числа несчастных случаев. В заключительном разделе статьи описывается процедура, которая позволит довести даже небольшие компьютерные системы до надлежащего уровня технической безопасности при оправданных затратах и ​​в течение приемлемого периода времени. Принципы, указанные в этой заключительной части, в настоящее время внедряются в международные процедуры стандартизации и будут иметь значение для всех областей техники безопасности, в которых находят применение компьютеры.

Примеры использования программного обеспечения и компьютеров в области защиты машин

Следующие четыре примера показывают, что программное обеспечение и компьютеры в настоящее время все больше и больше входят в приложения, связанные с безопасностью, в коммерческой сфере.

Индивидуально-аварийные сигнальные установки состоят, как правило, из центрального приемного пункта и ряда индивидуальных аварийных сигнализаторов. Устройства несут лица, работающие на объекте самостоятельно. Если кто-либо из этих лиц, работающих в одиночку, окажется в аварийной ситуации, он может использовать устройство для срабатывания сигнализации по радиосигналу в центральном приемном пункте. Такой волевой пусковой механизм может быть дополнен механизмом произвольного срабатывания, приводимым в действие датчиками, встроенными в персональные аварийные устройства. Как отдельные устройства, так и центральная приемная станция часто управляются микрокомпьютерами. Вполне возможно, что отказ отдельных отдельных функций встроенного компьютера может привести в аварийной ситуации к несрабатыванию сигнализации. Поэтому необходимо принять меры предосторожности, чтобы вовремя заметить и устранить такую ​​потерю функции.

Печатные станки, используемые сегодня для печати журналов, представляют собой большие машины. Бумажные полотна обычно подготавливаются на отдельной машине таким образом, чтобы обеспечить плавный переход на новый бумажный рулон. Отпечатанные страницы сгибаются на фальцевальной машине и затем проходят через цепочку других машин. В результате поддоны загружаются полностью сшитыми магазинами. Хотя такие установки автоматизированы, есть две точки, в которых необходимо выполнять ручное вмешательство: (1) при заправке трактов бумаги и (2) при устранении препятствий, вызванных разрывами бумаги в опасных местах на вращающихся роликах. По этой причине во время регулировки прессов технология управления должна обеспечивать пониженную скорость работы или режим толчкового перемещения с ограничением по траектории или времени. Из-за сложных процедур управления каждая отдельная станция печати должна быть оснащена собственным программируемым логическим контроллером. Любая неисправность, возникающая в системе управления типографией при открытых защитных решетках, должна не допускать, чтобы она приводила либо к неожиданному запуску остановленной машины, либо к работе с превышением допустимо сниженных скоростей.

На крупных фабриках и складах беспилотные автоматизированные роботизированные транспортные средства передвигаются по специально размеченным дорожкам. По этим путям в любое время могут пройти люди, или материалы и оборудование могут быть непреднамеренно оставлены на путях, поскольку они конструктивно не отделены от других путей движения. По этой причине необходимо использовать какое-либо оборудование для предотвращения столкновений, чтобы гарантировать, что транспортное средство будет остановлено до того, как произойдет опасное столкновение с человеком или объектом. В более поздних применениях предотвращение столкновений осуществляется с помощью ультразвуковых или лазерных сканеров, используемых в сочетании с защитным бампером. Поскольку эти системы работают под управлением компьютера, можно настроить несколько постоянных зон обнаружения, чтобы транспортное средство могло изменять свою реакцию в зависимости от конкретной зоны обнаружения, в которой находится человек. Неисправности защитного устройства не должны приводить к опасному столкновению с человеком.

Гильотины устройства контроля обрезки бумаги используются для прессования, а затем разрезания толстых стопок бумаги. Они запускаются двуручным устройством управления. Пользователь должен проникнуть в опасную зону станка после каждого разреза. Нематериальная защита, обычно легкая решетка, используется в сочетании с устройством управления двумя руками и безопасной системой управления машиной для предотвращения травм при подаче бумаги во время операции резки. Почти все более крупные и современные гильотины, используемые сегодня, управляются многоканальными микрокомпьютерными системами. Как управление двумя руками, так и световая сетка также должны гарантировать безопасное функционирование.

Аварии с компьютерными системами

Почти во всех областях промышленного применения сообщается об авариях с программным обеспечением и компьютерами (Neumann 1994). В большинстве случаев компьютерные сбои не приводят к травмам людей. Такие неудачи в любом случае предаются гласности только тогда, когда они представляют общественный интерес. Это означает, что случаи неисправности или несчастного случая, связанные с компьютерами и программным обеспечением, в результате которых пострадали люди, составляют относительно высокую долю всех получивших огласку случаев. К сожалению, аварии, которые не вызывают большой общественной сенсации, не расследуются в отношении их причин с такой же интенсивностью, как более серьезные аварии, как правило, на крупных предприятиях. По этой причине нижеследующие примеры относятся к четырем описаниям неисправностей или аварий, типичных для систем с компьютерным управлением, не относящихся к области защиты машин, которые используются для того, чтобы указать, что следует принимать во внимание при вынесении суждений, касающихся техники безопасности.

Аварии, вызванные случайными сбоями в оборудовании

Следующая авария была вызвана концентрацией случайных отказов в оборудовании в сочетании с программным сбоем: Реактор перегрелся на химическом заводе, после чего были открыты предохранительные клапаны, позволившие выпустить содержимое реактора в атмосферу. Эта авария произошла вскоре после того, как было дано предупреждение о том, что уровень масла в коробке передач слишком низкий. Тщательное расследование аварии показало, что вскоре после того, как катализатор инициировал реакцию в реакторе, вследствие чего реактору потребовалось бы дополнительное охлаждение, компьютер, на основании сообщения о низком уровне масла в коробке передач, заморозил все. величины, находящиеся под его контролем, на фиксированном уровне. Это удерживало поток холодной воды на слишком низком уровне, в результате чего реактор перегревался. Дальнейшее расследование показало, что индикация низкого уровня масла была вызвана неисправным компонентом.

Программное обеспечение отреагировало в соответствии со спецификацией срабатыванием аварийного сигнала и фиксацией всех рабочих переменных. Это было следствием исследования HAZOP (анализ опасностей и работоспособности) (Knowlton 1986), проведенного до события, которое требовало, чтобы все контролируемые переменные не изменялись в случае отказа. Поскольку программист не был подробно знаком с процедурой, это требование было истолковано как означающее, что управляемые исполнительные механизмы (в данном случае регулирующие клапаны) не должны были модифицироваться; не обращали внимания на возможность повышения температуры. Программист не учел, что после получения ошибочного сигнала система может оказаться в динамической ситуации типа требующей активного вмешательства компьютера для предотвращения аварии. Более того, ситуация, приведшая к несчастному случаю, была настолько маловероятной, что не была подробно проанализирована в исследовании HAZOP (Levenson 1986). Этот пример обеспечивает переход ко второй категории причин программно-компьютерных аварий. Это систематические сбои, которые есть в системе с самого начала, но которые проявляются только в определенных очень специфических ситуациях, которые разработчик не учел.

Несчастные случаи, вызванные сбоями в работе

В полевых испытаниях во время окончательной проверки роботов один техник позаимствовал кассету соседнего робота и заменил ее другой, не сообщив об этом своему коллеге. Вернувшись на свое рабочее место, коллега вставил не ту кассету. Так как он стоял рядом с роботом и ожидал от него определенной последовательности движений — последовательности, которая получалась иначе из-за обменной программы, — между роботом и человеком произошло столкновение. Эта авария описывает классический пример эксплуатационного отказа. Роль таких отказов в неисправностях и авариях в настоящее время возрастает в связи с усложнением применения управляемых компьютером механизмов безопасности.

Несчастные случаи, вызванные систематическими сбоями в оборудовании или программном обеспечении

Торпеда с боеголовкой должна была быть выпущена в учебных целях с боевого корабля в открытом море. Из-за дефекта приводного аппарата торпеда осталась в торпедном аппарате. Капитан решил вернуться в порт приписки, чтобы спасти торпеду. Вскоре после того, как корабль начал возвращаться домой, торпеда взорвалась. Анализ аварии показал, что разработчики торпеды были вынуждены встроить в торпеду механизм, предназначенный для предотвращения ее возвращения на стартовую площадку после выстрела и, таким образом, уничтожения запустившего ее корабля. Для этого был выбран следующий механизм: после выстрела торпеды с помощью инерциальной навигационной системы проверяли, не изменился ли ее курс на 180°. Как только торпеда почувствовала, что повернулась на 180°, она тут же взорвалась, предположительно на безопасном расстоянии от стартовой площадки. Этот механизм обнаружения срабатывал в случае неправильного пуска торпеды, в результате чего торпеда взорвалась после того, как корабль изменил курс на 180°. Это типичный пример аварии, произошедшей из-за несоблюдения спецификаций. Недостаточно точно сформулировано требование в ТУ о том, что торпеда не должна уничтожать собственный корабль при изменении курса; Таким образом, меры предосторожности были запрограммированы ошибочно. Ошибка проявилась только в конкретной ситуации, которую программист не учел как возможность.

14 сентября 1993 г. при посадке в Варшаве разбился самолет Airbus A 320 авиакомпании Lufthansa (рис. 1). Тщательное расследование авиакатастрофы показало, что за эту аварийную посадку частично ответственны изменения в логике посадки бортового компьютера, сделанные после аварии с самолетом Lauda Air Boeing 767 в 1991 году. Что произошло в аварии 1991 года, так это то, что отклонение тяги, которое отводит часть газов двигателя, чтобы затормозить самолет во время посадки, сработало еще в воздухе, что вынудило машину совершить неконтролируемое пикирование. По этой причине в машины Airbus была встроена электронная блокировка отклонения тяги. Этот механизм позволял вступать в силу отклонения тяги только после того, как датчики на обоих комплектах шасси подали сигнал о сжатии амортизаторов под давлением касания колес. На основании неверной информации пилоты самолета в Варшаве предвидели сильный боковой ветер.

Рис. 1. Lufthansa Airbus после аварии в Варшаве, 1993 г.

По этой причине они привезли машину с небольшим наклоном, и Airbus приземлился только правым колесом, оставив левый подшипник меньше, чем полный вес. Из-за электронной блокировки отклонения тяги бортовой компьютер в течение девяти секунд отказывал пилоту в таких маневрах, которые позволили бы самолету благополучно приземлиться, несмотря на неблагоприятные обстоятельства. Эта авария очень наглядно демонстрирует, что изменения в компьютерных системах могут привести к новым и опасным ситуациям, если заранее не учитывать диапазон их возможных последствий.

 

Следующий пример неисправности также демонстрирует катастрофические последствия, которые может иметь изменение одной единственной команды в компьютерных системах. Содержание алкоголя в крови определяют химическими тестами с использованием прозрачной сыворотки крови, из которой предварительно отцентрифугированы кровяные тельца. Таким образом, содержание алкоголя в сыворотке выше (в 1.2 раза), чем в более густой цельной крови. По этой причине значения алкоголя в сыворотке должны быть разделены на коэффициент 1.2, чтобы установить юридически и с медицинской точки зрения критические цифры в тысячных частях. В межлабораторном испытании, проведенном в 1984 г., значения содержания алкоголя в крови, установленные в идентичных испытаниях, проведенных в различных научно-исследовательских учреждениях с использованием сыворотки, должны были быть сопоставлены друг с другом. Поскольку речь шла только о сравнении, команда делить на 1.2 была, кроме того, стерта из программы в одном из учреждений на время эксперимента. После окончания межлабораторного испытания в этом месте ошибочно была введена в программу команда умножения на 1.2. В результате в период с августа 1,500 г. по март 1984 г. было рассчитано примерно 1985 неверных значений частей на тысячу. Эта ошибка была критической для профессиональной карьеры водителей-дальнобойщиков с уровнем алкоголя в крови от 1.0 до 1.3 промилле, поскольку юридическое наказание, влекущее за собой конфискацию водительских прав на длительный срок, является следствием значения 1.3 промилле.

Несчастные случаи, вызванные воздействием эксплуатационных нагрузок или стрессов окружающей среды

В результате помех, вызванных сбором отходов в рабочей зоне станка для вырубки и штамповки с ЧПУ (ЧПУ), пользователь ввел в действие «запрограммированную остановку». Когда он пытался удалить отходы руками, толкатель машины начал двигаться, несмотря на запрограммированную остановку, и серьезно ранил пользователя. Анализ аварии показал, что речь шла не об ошибке в программе. Неожиданный пуск воспроизвести не удалось. Подобные нарушения наблюдались и в прошлом на других машинах того же типа. Из них кажется правдоподобным сделать вывод, что авария должна была быть вызвана электромагнитными помехами. Подобные несчастные случаи с промышленными роботами зарегистрированы в Японии (Neumann 1987).

Неисправность космического корабля "Вояджер-2" 18 января 1986 года еще больше прояснила влияние стрессов окружающей среды на системы, управляемые компьютером. За шесть дней до максимального сближения с Ураном изображения с «Вояджера-2» покрывали большие поля черно-белых линий. Точный анализ показал, что один бит в командном слове подсистемы полетных данных вызвал сбой, наблюдаемый как изображения были сжаты в зонде. Этот бит, скорее всего, был выбит из памяти программы ударом космической частицы. Безошибочная передача сжатых фотографий с зонда была осуществлена ​​только через два дня с использованием программы-замены, способной обойти неисправную точку памяти (Laeser, McLaughlin and Wolff, 1987).

Краткое изложение представленных аварий

Проанализированные несчастные случаи показывают, что некоторые риски, которыми можно было бы пренебречь в условиях использования простой электромеханической технологии, приобретают значение при использовании компьютеров. Компьютеры позволяют выполнять сложные и зависящие от ситуации функции безопасности. По этой причине особенно важной становится однозначная, безошибочная, полная и проверяемая спецификация всех функций безопасности. Ошибки в спецификациях трудно обнаружить, и они часто являются причиной аварий в сложных системах. Свободно программируемые элементы управления обычно вводятся с намерением гибко и быстро реагировать на изменения рынка. Однако модификации, особенно в сложных системах, имеют побочные эффекты, которые трудно предвидеть. Поэтому все модификации должны подвергаться строго формальной процедуре управления изменениями, в которой четкое отделение функций безопасности от частичных систем, не связанных с безопасностью, поможет легко отслеживать последствия модификаций для технологии безопасности.

Компьютеры работают с низким уровнем электричества. Поэтому они чувствительны к помехам от внешних источников излучения. Поскольку модификация одного-единственного сигнала среди миллионов может привести к неисправности, стоит уделить особое внимание теме электромагнитной совместимости применительно к компьютерам.

Обслуживание систем с компьютерным управлением в настоящее время становится все более сложным и, следовательно, все более неясным. Таким образом, эргономика программного обеспечения пользователя и программного обеспечения для настройки становится все более интересной с точки зрения техники безопасности.

Ни одна компьютерная система не может быть протестирована на 100%. Простой механизм управления с 32 бинарными входными портами и 1,000 различных программных путей требует 4.3 × 10¹² тесты для полной проверки. При скорости выполнения и оценки 100 тестов в секунду полное тестирование заняло бы 1,362 года.

Процедуры и меры по совершенствованию компьютеризированных устройств безопасности

За последние 10 лет были разработаны процедуры, которые позволяют справиться с конкретными задачами, связанными с безопасностью, связанными с компьютерами. Эти процедуры относятся к сбоям компьютера, описанным в этом разделе. Описанные примеры программного обеспечения и компьютеров для обеспечения безопасности машин и проанализированные несчастные случаи показывают, что степень ущерба и, следовательно, также риск, связанный с различными приложениями, чрезвычайно различны. Поэтому ясно, что необходимые меры предосторожности для улучшения компьютеров и программного обеспечения, используемых в технике безопасности, должны быть установлены в отношении риска.

На рис. 2 показана качественная процедура, с помощью которой можно определить необходимое снижение риска, достигаемое с помощью систем безопасности, независимо от степени и частоты возникновения ущерба (Bell and Reinert 1992). Типы отказов в компьютерных системах, проанализированные в разделе «Аварии с компьютерными системами» (выше), могут быть соотнесены с так называемыми уровнями полноты безопасности, т. е. с техническими средствами снижения риска.

Рисунок 2. Качественная процедура определения риска

Рисунок 3 ясно показывает, что эффективность мер, принимаемых в любом конкретном случае для уменьшения ошибок в программном обеспечении и компьютерах, должна возрастать с увеличением риска (DIN 1994; IEC 1993).

Рисунок 3. Эффективность мер предосторожности против ошибок независимо от риска

Анализ приведенных выше аварий показывает, что отказ управляемых компьютером защит вызван не только случайными отказами компонентов, но и особыми условиями эксплуатации, которые не были учтены программистом. Не сразу очевидные последствия модификаций программы, сделанных в ходе обслуживания системы, представляют собой дополнительный источник ошибок. Отсюда следует, что в системах безопасности, управляемых микропроцессорами, возможны отказы, которые хотя и допущены при разработке системы, но могут привести к возникновению опасной ситуации только в процессе эксплуатации. Поэтому необходимо принимать меры предосторожности против таких отказов, пока системы, связанные с безопасностью, находятся на стадии разработки. Эти так называемые меры по предотвращению отказов должны приниматься не только на этапе разработки концепции, но и в процессе разработки, установки и модификации. Определенных отказов можно избежать, если они будут обнаружены и устранены в ходе этого процесса (DIN 1990).

Как ясно показывает последняя описанная авария, выход из строя одного транзистора может привести к техническому отказу очень сложного автоматизированного оборудования. Поскольку каждая отдельная схема состоит из многих тысяч транзисторов и других компонентов, должны быть приняты многочисленные меры по предотвращению отказов, чтобы распознать такие отказы, возникающие в процессе работы, и инициировать соответствующую реакцию в компьютерной системе. На рисунке 4 описаны типы отказов в программируемых электронных системах, а также примеры мер предосторожности, которые могут быть приняты для предотвращения и контроля отказов в компьютерных системах (DIN 1990; IEC 1992).

Рисунок 4. Примеры мер предосторожности, принимаемых для контроля и предотвращения ошибок в компьютерных системах

Возможности и перспективы программируемых электронных систем в технике безопасности

Современные машины и установки становятся все более сложными и должны решать все более сложные задачи за все более короткие промежутки времени. По этой причине компьютерные системы захватили почти все области промышленности с середины 1970-х годов. Одно только это увеличение сложности в значительной степени способствовало росту затрат, связанных с улучшением технологии безопасности в таких системах. Хотя программное обеспечение и компьютеры создают серьезную проблему для безопасности на рабочем месте, они также позволяют внедрять новые безошибочные системы в области техники безопасности.

Забавный, но поучительный стих Эрнста Яндла поможет объяснить, что подразумевается под понятием безошибочный. «Lichtung: Manche meinen lechts und rinks kann man nicht velwechsern, werch ein Illtum». («Направление: многие считают, что свет и свет нельзя поменять местами, что за эллол».) Несмотря на обмен письмами r и l, эта фраза легко понятна нормальному взрослому человеку. Даже человек с низким уровнем владения английским языком может перевести его на английский язык. Однако задача для переводящего компьютера практически невыполнима.

Этот пример показывает, что человек может реагировать гораздо более безошибочно, чем языковой компьютер. Это означает, что люди, как и все другие живые существа, могут терпеть неудачи, ссылаясь на них. Если посмотреть на машины, используемые сегодня, можно увидеть, что большинство машин наказывает пользователей за отказы не несчастным случаем, а снижением производительности. Это свойство приводит к манипулированию или обходу средств защиты. Современные компьютерные технологии предоставляют в распоряжение системы безопасности труда, которые могут реагировать интеллектуально, т. е. модифицированным образом. Таким образом, такие системы делают возможным безошибочный режим работы новых машин. Они в первую очередь предупреждают пользователей при неправильной работе и выключают машину только тогда, когда это единственный способ избежать аварии. Анализ несчастных случаев показывает, что в этой области существует значительный потенциал для снижения числа несчастных случаев (Reinert and Reuss, 1991).

 

Назад

Гибридная автоматизированная система (ГАС) призвана интегрировать возможности машин с искусственным интеллектом (на основе компьютерных технологий) с возможностями людей, взаимодействующих с этими машинами в процессе своей трудовой деятельности. Основные проблемы использования HAS связаны с тем, как должны быть спроектированы человеческие и машинные подсистемы, чтобы наилучшим образом использовать знания и навыки обеих частей гибридной системы, и как люди-операторы и компоненты машины должны взаимодействовать друг с другом. чтобы их функции дополняли друг друга. Многие гибридные автоматизированные системы развились как продукты применения современных методологий, основанных на информации и управлении, для автоматизации и интеграции различных функций часто сложных технологических систем. Первоначально HAS была идентифицирована с внедрением компьютерных систем, используемых при проектировании и эксплуатации систем управления в реальном времени для ядерных энергетических реакторов, для химических заводов и для технологии производства дискретных деталей. В настоящее время HAS также можно найти во многих сферах обслуживания, таких как управление воздушным движением и процедуры навигации самолетов в области гражданской авиации, а также при разработке и использовании интеллектуальных систем навигации для транспортных средств и шоссе в дорожном транспорте.

С продолжающимся прогрессом в компьютерной автоматизации характер человеческих задач в современных технологических системах меняется от задач, требующих перцептивно-моторных навыков, к задачам, требующим когнитивной деятельности, которые необходимы для решения проблем, принятия решений при мониторинге системы и для задачи диспетчерского контроля. Например, люди-операторы в компьютеризированных производственных системах в основном действуют как системные мониторы, решают проблемы и принимают решения. Когнитивная деятельность человека-руководителя в любой среде HAS заключается в (1) планировании того, что следует делать в течение заданного периода времени, (2) разработке процедур (или шагов) для достижения набора запланированных целей, (3) мониторинге прогресса. (технологических) процессов, (4) «обучение» системы через человеко-интерактивный компьютер, (5) вмешательство, если система ведет себя ненормально или если меняются приоритеты управления, и (6) обучение через обратную связь от системы о воздействии надзорные действия (Шеридан, 1987).

Гибридная система

Взаимодействие человека и машины в HAS включает использование динамических коммуникационных циклов между людьми-операторами и интеллектуальными машинами — процесс, который включает в себя получение и обработку информации, а также инициирование и выполнение задач управления и принятие решений — в рамках заданной структуры распределения функций между люди и машины. Как минимум, взаимодействие между людьми и автоматизацией должно отражать высокую сложность гибридных автоматизированных систем, а также соответствующие характеристики людей-операторов и требования к задачам. Таким образом, гибридная автоматизированная система формально может быть определена как пятерка в следующей формуле:

ЕСТЬ = (Т, У, С, Е, И)

в котором T = требования к задаче (физические и когнитивные); U = характеристики пользователя (физические и когнитивные); C = характеристики автоматизации (аппаратное и программное обеспечение, включая компьютерные интерфейсы); E = среда системы; I = набор взаимодействий между вышеуказанными элементами.

Набор взаимодействий I воплощает в себе все возможные взаимодействия между T, U и C in E независимо от их характера или силы связи. Например, одно из возможных взаимодействий может включать связь данных, хранящихся в памяти компьютера, с соответствующими знаниями, если таковые имеются, у человека-оператора. Взаимодействия I может быть элементарным (т. е. ограниченным взаимно-однозначной ассоциацией) или сложным, например, включать взаимодействие между человеком-оператором, конкретным программным обеспечением, используемым для выполнения желаемой задачи, и доступным физическим интерфейсом с компьютером.

Разработчики многих гибридных автоматизированных систем сосредотачиваются в первую очередь на автоматизированной интеграции сложных машин и другого оборудования как части компьютерной технологии, редко уделяя большое внимание первостепенной необходимости эффективной интеграции человека в такие системы. Поэтому в настоящее время многие компьютерно-интегрированные (технологические) системы не полностью совместимы с присущими человеку возможностями, выражающимися в навыках и знаниях, необходимых для эффективного управления и мониторинга этих систем. Такая несовместимость возникает на всех уровнях человеческого, машинного и человеко-машинного функционирования и может быть определена в рамках отдельного человека и всей организации или объекта. Например, проблемы интеграции людей и технологий на передовых производственных предприятиях возникают на ранней стадии проектирования HAS. Эти проблемы могут быть концептуализированы с использованием следующей модели системной интеграции сложности взаимодействий: I, между разработчиками системы, D, операторы, H, или потенциальные пользователи системы и технологии, T:

Я (Ч, Т) = Ф [ Я (Ч, Д), Я (Д, Т)]

в котором I обозначает соответствующие взаимодействия, происходящие в данной структуре HAS, в то время как F указывает на функциональные отношения между дизайнерами, людьми-операторами и технологиями.

Приведенная выше модель системной интеграции подчеркивает тот факт, что взаимодействие между пользователями и технологией определяется результатом интеграции двух предыдущих взаимодействий, а именно (1) взаимодействия между разработчиками HAS и потенциальными пользователями и (2) взаимодействия между разработчиками. и технология HAS (на уровне машин и их интеграции). Следует отметить, что, хотя между проектировщиками и технологиями обычно существует тесное взаимодействие, можно найти очень мало примеров столь же прочных взаимосвязей между проектировщиками и людьми-операторами.

Можно утверждать, что даже в самых автоматизированных системах роль человека остается решающей для успешной работы системы на операционном уровне. Bainbridge (1983) определил ряд проблем, связанных с работой HAS, которые связаны с природой самой автоматизации, а именно:

1. Операторы «вне контура управления». Люди-операторы присутствуют в системе для осуществления управления, когда это необходимо, но, находясь «вне контура управления», они не могут поддерживать навыки ручного труда и долгосрочные системные знания, которые часто требуются в случае чрезвычайной ситуации.
2. Устаревшая «ментальная картина». Люди-операторы могут быть не в состоянии быстро реагировать на изменения в поведении системы, если они не следят очень внимательно за событиями, происходящими в ее работе. Кроме того, знания операторов или их мысленное представление о функционировании системы могут быть недостаточными для того, чтобы инициировать или осуществить требуемые действия.
3. Исчезающие поколения навыков. Новые операторы могут быть не в состоянии приобрести достаточные знания о компьютеризированной системе, приобретенные на основе опыта, и, следовательно, не смогут осуществлять эффективный контроль, когда это необходимо.
4. Авторитет автоматики. Если компьютеризированная система была внедрена потому, что она может выполнять требуемые задачи лучше, чем человек-оператор, возникает вопрос: «На каком основании оператор должен решать, правильные или неправильные решения принимаются автоматизированными системами?»
5. Появление новых видов «человеческих ошибок» за счет автоматизации. Автоматизированные системы приводят к новым видам ошибок и, следовательно, аварий, которые невозможно проанализировать в рамках традиционных методов анализа.

 

Распределение задач

Одним из важных вопросов при проектировании HAS является определение того, сколько и какие функции или обязанности должны быть возложены на людей-операторов, а какие и сколько — на компьютеры. Как правило, следует рассматривать три основных класса проблем распределения задач: (1) распределение задач между человеком и компьютером, (2) распределение задач между человеком и (3) распределение задач между управляющим компьютером и компьютером. В идеале решения о распределении должны приниматься с помощью некоторой структурированной процедуры распределения до того, как будет начато базовое проектирование системы. К сожалению, такой систематический процесс редко возможен, поскольку функции, которые должны быть распределены, могут либо нуждаться в дальнейшем изучении, либо должны выполняться в интерактивном режиме между человеческими и машинными компонентами системы, то есть посредством применения парадигмы диспетчерского управления. Распределение задач в гибридных автоматизированных системах должно быть сосредоточено на степени ответственности человека и компьютера и должно учитывать характер взаимодействия между человеком-оператором и компьютеризированными системами поддержки принятия решений. Следует также учитывать средства передачи информации между машинами и человеческими интерфейсами ввода-вывода и совместимость программного обеспечения с когнитивными способностями человека решать проблемы.

В традиционных подходах к проектированию и управлению гибридными автоматизированными системами работники рассматривались как детерминированные системы ввода-вывода, и существовала тенденция игнорировать телеологическую природу человеческого поведения, то есть целенаправленное поведение, основанное на приобретении соответствующую информацию и выбор целей (Гудштейн и др., 1988). Чтобы добиться успеха, проектирование и управление передовыми гибридными автоматизированными системами должно основываться на описании психических функций человека, необходимых для выполнения конкретной задачи. Подход «когнитивной инженерии» (более подробно описанный ниже) предполагает, что человеко-машинные (гибридные) системы должны быть задуманы, спроектированы, проанализированы и оценены с точки зрения человеческих мыслительных процессов (т.е. мысленная модель адаптивных систем оператора принимается во внимание). учетная запись). Ниже приведены требования ориентированного на человека подхода к проектированию и эксплуатации HAS, сформулированные Корбеттом (1988):

1. Совместимость. Эксплуатация системы не должна требовать навыков, не связанных с существующими навыками, но должна позволять существующим навыкам развиваться. Человек-оператор должен вводить и получать информацию, которая совместима с общепринятой практикой, чтобы интерфейс соответствовал предшествующим знаниям и навыкам пользователя.
2. Прозрачность. Нельзя управлять системой, не понимая ее. Следовательно, человек-оператор должен иметь возможность «видеть» внутренние процессы управляющего программного обеспечения системы, если необходимо облегчить обучение. Прозрачная система позволяет пользователям легко создавать внутреннюю модель функций принятия решений и контроля, которые может выполнять система.
3. Минимальный шок. Система не должна делать ничего, что операторы считают неожиданным в свете доступной им информации, подробно описывающей текущее состояние системы.
4. Контроль помех. Неопределенные задачи (как определено анализом структуры выбора) должны находиться под контролем человека-оператора с компьютерной поддержкой принятия решений.
5. Погрешность. Неявные навыки и знания людей-операторов не должны быть разработаны вне системы. Операторы никогда не должны ставиться в положение, когда они беспомощно наблюдают, как программное обеспечение управляет неправильной операцией.
6. Обратимость ошибки. Программное обеспечение должно обеспечивать достаточную упреждающую информацию, чтобы информировать человека-оператора о вероятных последствиях конкретной операции или стратегии.
7. Операционная гибкость. Система должна предлагать операторам свободу выбора между требованиями и ограничениями ресурсов путем изменения операционных стратегий без потери поддержки управляющего программного обеспечения.

 

Когнитивная инженерия человеческого фактора

Когнитивная инженерия человеческого фактора фокусируется на том, как люди-операторы принимают решения на рабочем месте, решают проблемы, формулируют планы и осваивают новые навыки (Hollnagel and Woods, 1983). Роли людей-операторов, функционирующих в любой HAS, можно разделить по схеме Расмуссена (1983) на три основные категории:

1. Поведение, основанное на навыках сенсорно-моторные действия, выполняемые во время действий или действий, которые происходят без сознательного контроля в виде плавных, автоматизированных и высокоинтегрированных паттернов поведения. Человеческая деятельность, подпадающая под эту категорию, считается последовательностью искусных действий, составленных для данной ситуации. Таким образом, поведение, основанное на навыках, является выражением более или менее сохраненных паттернов поведения или заранее запрограммированных инструкций в пространственно-временной области.
2. Поведение на основе правил — это целевая категория производительности, структурированная с помощью прямого управления посредством хранимого правила или процедуры, то есть упорядоченная производительность, позволяющая составить последовательность подпрограмм в знакомой рабочей ситуации. Правило обычно выбирается из предыдущего опыта и отражает функциональные свойства, ограничивающие поведение среды. Производительность на основе правил основана на явных ноу-хау в отношении использования соответствующих правил. Набор данных для принятия решения состоит из ссылок для распознавания и идентификации состояний, событий или ситуаций.
3. Поведение, основанное на знаниях — категория целенаправленной деятельности, при которой цель четко формулируется на основе знаний об окружающей среде и целях человека. Внутренняя структура системы представлена ​​«ментальной моделью». Такой тип поведения позволяет разрабатывать и тестировать различные планы в незнакомых и, следовательно, неопределенных условиях контроля и необходим, когда навыки или правила либо недоступны, либо неадекватны, так что вместо этого необходимо прибегнуть к решению проблем и планированию.

 

При проектировании и управлении HAS следует учитывать когнитивные характеристики работников, чтобы обеспечить совместимость работы системы с внутренней моделью работника, описывающей его функции. Следовательно, уровень описания системы должен быть смещен с основанного на навыках на основанный на правилах и знаниях аспект функционирования человека, а для идентификации операторской модели системы должны использоваться соответствующие методы анализа когнитивных задач. Смежным вопросом при разработке HAS является проектирование средств передачи информации между человеком-оператором и компонентами автоматизированной системы как на физическом, так и на когнитивном уровнях. Такая передача информации должна быть совместима со способами передачи информации, используемыми на разных уровнях работы системы, т. е. визуальным, вербальным, тактильным или гибридным. Эта информационная совместимость гарантирует, что различные формы передачи информации потребуют минимальной несовместимости между средой и характером информации. Например, визуальный дисплей лучше всего подходит для передачи пространственной информации, тогда как слуховой ввод может использоваться для передачи текстовой информации.

Довольно часто человек-оператор разрабатывает внутреннюю модель, которая описывает работу и функции системы в соответствии с его или ее опытом, обучением и инструкциями в связи с данным типом человеко-машинного интерфейса. В свете этой реальности разработчики HAS должны попытаться встроить в машины (или другие искусственные системы) модель физических и когнитивных характеристик человека-оператора, то есть системный образ оператора (Hollnagel and Woods, 1983). . Разработчики HAS также должны учитывать уровень абстракции в описании системы, а также различные соответствующие категории поведения человека-оператора. Эти уровни абстракции для моделирования человеческого функционирования в рабочей среде следующие (Расмуссен, 1983): (1) физическая форма (анатомическая структура), (2) физические функции (физиологические функции), (3) обобщенные функции (психологические механизмы и когнитивные функции). и аффективные процессы), (4) абстрактные функции (обработка информации) и (5) функциональное назначение (ценностные структуры, мифы, религии, человеческие взаимодействия). Эти пять уровней должны учитываться разработчиками одновременно, чтобы обеспечить эффективную работу HAS.

Дизайн системного программного обеспечения

Поскольку компьютерное программное обеспечение является основным компонентом любой среды HAS, разработка программного обеспечения, включая проектирование, тестирование, эксплуатацию и модификацию, а также вопросы надежности программного обеспечения также должны учитываться на ранних стадиях разработки HAS. Таким образом, можно снизить стоимость обнаружения и устранения ошибок в программном обеспечении. Однако трудно оценить надежность человеческих компонентов HAS из-за ограничений нашей способности моделировать выполнение задач человеком, связанную с этим рабочую нагрузку и возможные ошибки. Чрезмерная или недостаточная умственная нагрузка может привести к информационной перегрузке и скуке, соответственно, и может привести к снижению работоспособности человека, что приведет к ошибкам и увеличению вероятности несчастных случаев. Разработчики HAS должны использовать адаптивные интерфейсы, использующие методы искусственного интеллекта, для решения этих проблем. В дополнение к совместимости человека и машины необходимо учитывать вопрос адаптации человека и машины друг к другу, чтобы снизить уровень стресса, который возникает, когда человеческие возможности могут быть превышены.

Из-за высокого уровня сложности многих гибридных автоматизированных систем выявление любых потенциальных опасностей, связанных с аппаратным обеспечением, программным обеспечением, операционными процедурами и взаимодействием человека и машины этих систем, становится критически важным для успеха усилий, направленных на снижение травматизма и повреждения оборудования. . Угрозы безопасности и здоровью, связанные со сложными гибридными автоматизированными системами, такими как компьютерно-интегрированные производственные технологии (CIM), безусловно, являются одним из наиболее важных аспектов проектирования и эксплуатации системы.

Проблемы безопасности системы

Гибридные автоматизированные среды с их значительным потенциалом неустойчивого поведения управляющего программного обеспечения в условиях системных возмущений создают риск аварий нового поколения. По мере того как гибридные автоматизированные системы становятся все более универсальными и сложными, системные помехи, в том числе проблемы с запуском и остановом, а также отклонения в управлении системой, могут значительно повысить вероятность серьезной опасности для людей-операторов. По иронии судьбы, во многих нештатных ситуациях операторы обычно полагаются на надлежащее функционирование автоматизированных подсистем безопасности, что может увеличить риск серьезных травм. Например, изучение аварий, связанных с неисправностями технических систем управления, показало, что около трети аварийных последовательностей включало вмешательство человека в контур управления нарушенной системы.

Поскольку традиционные меры безопасности не могут быть легко адаптированы к потребностям среды HAS, необходимо пересмотреть стратегии контроля травматизма и предотвращения несчастных случаев с учетом присущих этим системам характеристик. Например, в области передовых производственных технологий многие процессы характеризуются наличием значительных потоков энергии, которые не могут быть легко предвидены людьми-операторами. Более того, проблемы с безопасностью обычно возникают на интерфейсах между подсистемами или когда системные возмущения переходят от одной подсистемы к другой. Согласно Международной организации по стандартизации (ISO 1991), риски, связанные с опасностями, связанными с промышленной автоматизацией, различаются в зависимости от типов промышленных машин, включенных в конкретную производственную систему, и способов установки, программирования, эксплуатации и обслуживания системы. и отремонтировано. Например, сравнение несчастных случаев, связанных с роботами, в Швеции с другими типами несчастных случаев показало, что роботы могут быть наиболее опасными промышленными машинами, используемыми в передовой производственной промышленности. Расчетная частота несчастных случаев с промышленными роботами составляла одну серьезную аварию на 45 робото-лет, что выше, чем у промышленных прессов, которые, как сообщалось, составляли одну аварию на 50 машино-лет. Здесь следует отметить, что на промышленные прессы в Соединенных Штатах приходилось около 23% всех смертельных случаев, связанных с металлообрабатывающими станками, за период 1980–1985 гг., при этом механические прессы занимали первое место по соотношению тяжесть-частота несмертельных травм.

В области передовых производственных технологий существует множество движущихся частей, которые представляют опасность для рабочих, поскольку они сложным образом меняют свое положение вне поля зрения человека-оператора. Быстрое технологическое развитие компьютеризированного производства создало острую потребность в изучении влияния передовых производственных технологий на рабочих. Для выявления опасностей, вызванных различными компонентами такой среды ГАС, необходимо тщательно проанализировать прошлые аварии. К сожалению, несчастные случаи, связанные с использованием роботов, трудно отделить от сообщений о несчастных случаях, связанных с машинами, управляемыми людьми, и, следовательно, может быть высокий процент незарегистрированных несчастных случаев. Правила охраны труда и техники безопасности Японии гласят, что «промышленные роботы в настоящее время не имеют надежных средств безопасности, и рабочие не могут быть защищены от них, если их использование не регулируется». Например, результаты исследования, проведенного Министерством труда Японии (Sugimoto 1987) несчастных случаев, связанных с промышленными роботами на 190 обследованных фабриках (с 4,341 рабочим роботом), показали, что было 300 нарушений, связанных с роботами, из которых 37 случаев небезопасных действий привели к несчастным случаям, 9 несчастным случаям с травмами и 2 несчастным случаям со смертельным исходом. Результаты других исследований показывают, что компьютеризированная автоматизация не обязательно повышает общий уровень безопасности, поскольку аппаратное обеспечение системы не может быть обеспечено отказоустойчивостью только за счет функций безопасности в компьютерном программном обеспечении, а системные контроллеры не всегда отличаются высокой надежностью. Кроме того, в сложной HAS нельзя полагаться исключительно на датчики безопасности для обнаружения опасных условий и принятия соответствующих стратегий предотвращения опасностей.

Влияние автоматизации на здоровье человека

Как обсуждалось выше, действия рабочих во многих средах HAS в основном связаны с диспетчерским контролем, мониторингом, поддержкой и обслуживанием системы. Эти виды деятельности также можно разделить на четыре основные группы следующим образом: (1) задачи программирования, т. е. кодирование информации, которая направляет и управляет работой оборудования, (2) мониторинг компонентов производства и управления HAS, (3) техническое обслуживание компонентов HAS для предотвращения или устранять сбои в работе оборудования и (4) выполнять различные вспомогательные задачи и т. д. Многие недавние обзоры влияния HAS на самочувствие рабочих пришли к выводу, что, хотя использование HAS на производстве может устранить тяжелые и опасные задачи , работа в среде HAS может быть неудовлетворительной и напряженной для работников. Источники стресса включали постоянный мониторинг, необходимый во многих приложениях HAS, ограниченный объем выделенных действий, низкий уровень взаимодействия работников, разрешенный конструкцией системы, и угрозы безопасности, связанные с непредсказуемым и неконтролируемым характером оборудования. Несмотря на то, что некоторые работники, участвующие в программировании и техническом обслуживании, ощущают элементы трудностей, которые могут положительно сказаться на их самочувствии, эти последствия часто нивелируются сложным и требовательным характером этих действий, а также давлением. усилия руководства для скорейшего завершения этих мероприятий.

Хотя в некоторых средах HAS люди-операторы удалены от традиционных источников энергии (потока работы и движения машины) в нормальных условиях эксплуатации, многие задачи в автоматизированных системах по-прежнему необходимо выполнять в прямом контакте с другими источниками энергии. Поскольку количество различных компонентов HAS постоянно увеличивается, особое внимание должно уделяться комфорту и безопасности рабочих, а также разработке эффективных мер по контролю травматизма, особенно с учетом того факта, что рабочие больше не в состоянии идти в ногу с сложности и сложности таких систем.

Чтобы удовлетворить текущие потребности в области контроля травматизма и безопасности работников в компьютеризированных интегрированных производственных системах, Комитет ИСО по системам промышленной автоматизации предложил новый стандарт безопасности под названием «Безопасность интегрированных производственных систем» (1991 г.). Этот новый международный стандарт, разработанный с учетом особых опасностей, существующих в интегрированных производственных системах, включающих промышленные машины и сопутствующее оборудование, направлен на минимизацию возможности получения травм персоналом во время работы в интегрированной производственной системе или рядом с ней. Основные источники потенциальных опасностей для людей-операторов в CIM, определенные настоящим стандартом, показаны на рисунке 1.

Рисунок 1. Основной источник опасностей в автоматизированном производстве (CIM) (после ISO 1991)

Человеческие и системные ошибки

Как правило, опасности в HAS могут возникать из-за самой системы, из-за ее связи с другим оборудованием, присутствующим в физической среде, или из-за взаимодействия человеческого персонала с системой. Несчастный случай — это лишь один из нескольких результатов взаимодействия человека и машины, которые могут возникнуть в опасных условиях; несчастные случаи и повреждения случаются гораздо чаще (Zimolong and Duda, 1992). Возникновение ошибки может привести к одному из следующих последствий: (1) ошибка остается незамеченной, (2) система может компенсировать ошибку, (3) ошибка приводит к поломке машины и/или остановке системы или (4) ) ошибка приводит к аварии.

Поскольку не каждая человеческая ошибка, которая приводит к критическому происшествию, приводит к реальному происшествию, уместно проводить дальнейшее разграничение между категориями результатов следующим образом: (1) небезопасный инцидент (т. е. любое непреднамеренное происшествие, независимо от того, приводит ли оно к травме, повреждению или убыток), (2) несчастный случай (т. е. небезопасное событие, повлекшее за собой травмы, ущерб или убытки), (3) происшествие с ущербом (т. е. небезопасное событие, которое приводит только к некоторому материальному ущербу), (4) предаварийное происшествие или «промах» (т. е. небезопасное событие, при котором травмы, ущерб или потери удалось избежать с небольшим отрывом) и (5) наличие возможности аварийного происшествия (т. е. небезопасные события, которые могли привести к травмам, повреждению , либо убыток, но в силу обстоятельств не повлекший даже близкой аварии).

В HAS можно выделить три основных типа человеческих ошибок:

1. промахи и упущения, основанные на навыках
2. ошибки на основе правил
3. ошибки, основанные на знаниях.

 

Эта таксономия, разработанная Ризоном (1990), основана на модификации классификации человеческой деятельности Расмуссена «навыки-правила-знания», как описано выше. На уровне навыков человеческая деятельность управляется сохраненными шаблонами заранее запрограммированных инструкций, представленных в виде аналоговых структур в пространственно-временной области. Уровень, основанный на правилах, применим для решения знакомых проблем, в которых решения регулируются сохраненными правилами (называемыми «продукциями», поскольку к ним обращаются или они создаются по мере необходимости). Эти правила требуют постановки определенных диагнозов (или суждений) или принятия определенных мер по исправлению положения, если возникли определенные условия, требующие соответствующего реагирования. На этом уровне человеческие ошибки обычно связаны с неправильной классификацией ситуаций, что приводит либо к применению неправильного правила, либо к неправильному воспроизведению последующих суждений или процедур. Ошибки, основанные на знаниях, возникают в новых ситуациях, для которых действия необходимо планировать «онлайн» (в данный момент), используя сознательные аналитические процессы и накопленные знания. Ошибки на этом уровне возникают из-за ограниченности ресурсов и неполных или неправильных знаний.

Общие системы моделирования ошибок (GEMS), предложенные Reason (1990), в которых делается попытка локализовать источники основных типов человеческих ошибок, могут быть использованы для получения общей таксономии человеческого поведения в HAS. GEMS стремится объединить две отдельные области исследования ошибок: (1) промахи и упущения, при которых действия отклоняются от текущего намерения из-за сбоев выполнения и/или сбоев хранения, и (2) ошибки, при которых действия могут выполняться в соответствии с планом, но план недостаточен для достижения желаемого результата.

Оценка и предотвращение рисков в CIM

Согласно ISO (1991 г.), оценка риска в CIM должна выполняться таким образом, чтобы свести к минимуму все риски и служить основой для определения целей и мер безопасности при разработке программ или планов как для создания безопасной рабочей среды, так и для обеспечения а также безопасность и здоровье персонала. Например, производственные опасности в производственной среде HAS можно охарактеризовать следующим образом: (1) человеку-оператору может потребоваться войти в опасную зону во время устранения неполадок, выполнения задач обслуживания и технического обслуживания, (2) опасную зону трудно определить, воспринимать и контролировать, (3) работа может быть монотонной и (4) несчастные случаи, происходящие в автоматизированных производственных системах, часто бывают серьезными. Каждая идентифицированная опасность должна быть оценена на предмет связанного с ней риска, и должны быть определены и реализованы соответствующие меры безопасности для минимизации этого риска. Опасности также должны быть установлены в отношении всех следующих аспектов любого данного процесса: самого отдельного устройства; взаимодействие между отдельными единицами; рабочие разделы системы; и работу всей системы во всех предусмотренных рабочих режимах и условиях, включая условия, при которых обычные средства защиты приостанавливаются для таких операций, как программирование, проверка, поиск и устранение неисправностей, техническое обслуживание или ремонт.

Этап разработки стратегии безопасности ISO (1991) для CIM включает:

• спецификация пределов системных параметров
• применение стратегии безопасности
• выявление опасностей
• оценка сопутствующих рисков
• устранение опасностей или уменьшение рисков, насколько это практически возможно.

 

Спецификация безопасности системы должна включать:

• описание функций системы
• компоновка системы и/или модель
• результаты опроса, проведенного для изучения взаимодействия различных рабочих процессов и ручной деятельности
• анализ технологических последовательностей, включая ручное взаимодействие
• описание интерфейсов с конвейером или транспортными линиями
• технологические схемы
• планы фундамента
• планы снабжения и утилизации устройств
• определение места, необходимого для подачи и утилизации материала
• имеющиеся записи об авариях.

 

В соответствии с ISO (1991) все необходимые требования для обеспечения безопасной работы системы CIM необходимо учитывать при разработке процедур систематического планирования безопасности. Это включает в себя все защитные меры для эффективного снижения опасностей и требует:

• интеграция человеко-машинного интерфейса
• раннее определение положения работающих над системой (во времени и пространстве)
• заблаговременное рассмотрение способов сокращения изолированной работы
• учет экологических аспектов.

 

Процедура планирования безопасности должна охватывать, среди прочего, следующие вопросы безопасности CIM:

• Выбор режимов работы системы. Аппаратура управления должна иметь средства, по крайней мере, для следующих режимов работы: (1) нормальный или производственный режим (т. е. со всеми подключенными и действующими нормальными средствами защиты), (2) работа с отключенными некоторыми нормальными средствами защиты и (3) работа в какая система или дистанционное ручное инициирование опасных ситуаций предотвращается (например, в случае местного управления или отключения питания или механической блокировки опасных условий).
• Обучение, установка, ввод в эксплуатацию и функциональное тестирование. Когда персонал должен находиться в опасной зоне, в системе управления должны быть предусмотрены следующие меры безопасности: (1) удержание для запуска, (2) устройство включения, (3) пониженная скорость, (4) пониженная мощность и (5) ) подвижный аварийный останов.
• Безопасность при системном программировании, обслуживании и ремонте. Во время программирования только программист должен находиться в охраняемом пространстве. В системе должны быть предусмотрены процедуры осмотра и технического обслуживания, чтобы обеспечить непрерывную предполагаемую работу системы. Программа проверки и технического обслуживания должна учитывать рекомендации поставщика системы и поставщиков различных элементов систем. Едва ли нужно упоминать, что персонал, выполняющий техническое обслуживание или ремонт системы, должен быть обучен процедурам, необходимым для выполнения требуемых задач.
• Устранение неисправности. При необходимости устранения неисправности изнутри защищаемого помещения его следует производить после безопасного отключения (или, по возможности, после срабатывания механизма блокировки). Должны быть приняты дополнительные меры против ошибочного возникновения опасных ситуаций. Если при устранении неисправностей на участках системы или на машинах смежных систем или машин могут возникнуть опасности, то они также должны быть выведены из эксплуатации и защищены от неожиданного пуска. С помощью предупредительных и предупредительных знаков следует обратить внимание на устранение неисправностей в компонентах системы, которые невозможно полностью наблюдать.

 

Системный контроль помех

Во многих установках HAS, используемых в области производства с компьютерной интеграцией, операторы обычно необходимы для управления, программирования, технического обслуживания, предварительной настройки, обслуживания или устранения неполадок. Нарушения в системе приводят к ситуациям, требующим выхода рабочих в опасные зоны. В этом отношении можно предположить, что помехи остаются наиболее важной причиной вмешательства человека в CIM, поскольку системы чаще всего будут программироваться из-за пределов ограниченных зон. Одним из наиболее важных вопросов безопасности CIM является предотвращение помех, поскольку большинство рисков возникает на этапе устранения неполадок в системе. Предотвращение помех является общей целью как с точки зрения безопасности, так и экономической эффективности.

Возмущение в системе CIM — это состояние или функция системы, которая отклоняется от запланированного или желаемого состояния. Помимо производительности, помехи при работе CIM напрямую влияют на безопасность людей, участвующих в эксплуатации системы. Исследование, проведенное в Финляндии (Kuivanen, 1990), показало, что около половины сбоев в автоматизированном производстве снижают безопасность рабочих. Основными причинами нарушений были ошибки в конструкции системы (34%), отказы компонентов системы (31%), человеческий фактор (20%) и внешние факторы (15%). Большинство отказов машин было вызвано системой управления, а в системе управления большинство отказов произошло в датчиках. Эффективным способом повышения уровня безопасности установок CIM является уменьшение количества помех. Хотя действия человека в возмущенных системах предотвращают возникновение аварий в среде ГАС, они также способствуют им. Например, изучение аварий, связанных с неисправностями технических систем управления, показало, что около трети аварийных последовательностей включало вмешательство человека в контур управления нарушенной системы.

Основные вопросы исследования предотвращения нарушений CIM касаются (1) основных причин нарушений, (2) ненадежных компонентов и функций, (3) влияния нарушений на безопасность, (4) воздействия нарушений на функцию системы, ( 5) материальный ущерб и (6) ремонт. Безопасность HAS следует планировать на ранней стадии проектирования системы с должным учетом технологий, людей и организации, и она должна быть неотъемлемой частью общего процесса технического планирования HAS.

HAS Design: Будущие вызовы

Чтобы обеспечить максимальную отдачу от гибридных автоматизированных систем, как обсуждалось выше, необходимо гораздо более широкое видение развития системы, основанное на интеграции людей, организаций и технологий. Здесь следует применять три основных типа системной интеграции:

1. интеграция людей, обеспечивая эффективную связь между ними
2. интеграция человека и компьютера, путем разработки подходящих интерфейсов и взаимодействия между людьми и компьютерами
3. технологическая интеграция, обеспечивая эффективное взаимодействие и взаимодействие между машинами.

 

Минимальные требования к проектированию гибридных автоматизированных систем должны включать следующее: (1) гибкость, (2) динамическая адаптация, (3) повышенная скорость реагирования и (4) необходимость мотивировать людей и лучше использовать их навыки, суждения и опыт. . Вышеизложенное также требует, чтобы организационные структуры, методы работы и технологии HAS были разработаны, чтобы люди на всех уровнях системы могли адаптировать свои рабочие стратегии к разнообразным ситуациям управления системами. Следовательно, организации, методы работы и технологии HAS должны быть спроектированы и разработаны как открытые системы (Kidd 1994).

Открытая гибридная автоматизированная система (OHAS) — это система, которая получает входные данные и отправляет выходные данные в свою среду. Идею открытой системы можно применять не только к системным архитектурам и организационным структурам, но и к методам работы, интерфейсам человек-компьютер и отношениям между людьми и технологиями: можно упомянуть, например, системы планирования, системы управления и системы поддержки принятия решений. Открытая система также является адаптивной, когда она предоставляет людям большую степень свободы в определении режима работы системы. Например, в области передового производства требования открытой гибридной автоматизированной системы могут быть реализованы с помощью концепции человеко-компьютерное производство (ХИМ). С этой точки зрения, разработка технологии должна учитывать общую архитектуру системы HCIM, включая следующее: (1) рассмотрение сети групп, (2) структуру каждой группы, (3) взаимодействие между группами, (4) характер вспомогательного программного обеспечения и (5) потребности в технической связи и интеграции между вспомогательными программными модулями.

Адаптивная гибридная автоматизированная система, в отличие от закрытой системы, не ограничивает возможности человека-оператора. Роль разработчика HAS состоит в том, чтобы создать систему, которая удовлетворит личные предпочтения пользователя и позволит пользователям работать так, как они считают наиболее подходящим. Необходимым условием для разрешения ввода данных пользователем является разработка методологии адаптивного проектирования, то есть OHAS, которая позволяет использовать компьютерную технологию для ее реализации в процессе проектирования. Необходимость разработки методологии адаптивного проектирования является одним из неотложных требований для практической реализации концепции OHAS. Также необходимо разработать новый уровень адаптивной технологии диспетчерского управления человеком. Такая технология должна позволять человеку-оператору «видеть сквозь» невидимую иначе систему управления функционированием ГАС, например, путем применения интерактивной высокоскоростной видеосистемы в каждой точке управления и работы системы. Наконец, очень необходима методология разработки интеллектуальной и высокоадаптивной компьютерной поддержки человеческих ролей и функционирования человека в гибридных автоматизированных системах.

 

Назад

Общепризнано, что системы управления должны быть безопасными во время использования. С учетом этого большинство современных систем управления спроектированы так, как показано на рисунке 1.

Рис. 1. Общий вид систем управления

Самый простой способ обезопасить систему управления — возвести вокруг нее непроницаемую стену, чтобы предотвратить доступ человека или вмешательство в опасную зону. Такая система была бы очень безопасной, хотя и непрактичной, поскольку к ней невозможно было бы получить доступ для выполнения большинства работ по тестированию, ремонту и наладке. Поскольку доступ к опасным зонам должен быть разрешен при определенных условиях, для облегчения производства, установки, обслуживания и технического обслуживания требуются другие защитные меры, помимо стен, ограждений и т.п.

 

Некоторые из этих защитных мер могут быть частично или полностью интегрированы в системы управления, а именно:

• Движение может быть немедленно остановлено, если кто-либо войдет в опасную зону, с помощью кнопок аварийной остановки (ES).
• Кнопочные элементы управления разрешают движение только тогда, когда кнопка активирована.
• Двуручное управление (DHC) разрешает движение только тогда, когда обе руки нажимают на два элемента управления (таким образом обеспечивается удаление рук от опасных зон).

 

Эти виды защитных мер активируются операторами. Однако, поскольку люди часто представляют собой слабое место в приложениях, многие функции, такие как следующие, выполняются автоматически:

• Движения манипуляторов робота во время обслуживания или «обучения» очень медленные. Тем не менее, скорость постоянно контролируется. Если из-за сбоя системы управления скорость автоматических манипуляторов неожиданно увеличится либо во время обслуживания, либо в период обучения, система мониторинга активируется и немедленно прекратит движение.
• Для предотвращения доступа в опасную зону предусмотрен световой барьер. Если световой луч прерывается, машина автоматически останавливается.

 

Нормальная работа систем управления является важнейшей предпосылкой производства. Если производственная функция прерывается из-за отказа системы управления, это в лучшем случае неудобно, но не опасно. Если функция, связанная с безопасностью, не выполняется, это может привести к остановке производства, повреждению оборудования, травмам или даже смерти. Следовательно, важные для безопасности функции системы управления должны быть более надежными и безопасными, чем обычные функции системы управления. В соответствии с Директивой Европейского Совета 89/392/EEC (Руководство по машинам) системы управления должны быть спроектированы и изготовлены таким образом, чтобы они были безопасными и надежными.

Элементы управления состоят из ряда компонентов, соединенных вместе для выполнения одной или нескольких функций. Элементы управления подразделяются на каналы. Канал — это часть управления, выполняющая определенную функцию (например, пуск, останов, аварийный останов). Физически канал создается набором компонентов (транзисторов, диодов, реле, вентилей и т. д.), через которые от одного компонента к другому передается (в основном электрическая) информация, представляющая эту функцию, от входа к выходу.

При проектировании каналов управления для функций, связанных с безопасностью (тех функций, в которых участвует человек), должны выполняться следующие требования:

• Компоненты, используемые в каналах управления с важными для безопасности функциями, должны выдерживать суровые условия нормального использования. Вообще, они должны быть достаточно надежными.
• Ошибки в логике не должны вызывать опасных ситуаций. Вообще, важный для безопасности канал должен быть достаточно отказоустойчивым.
• Внешние воздействия (факторы) не должны приводить к временным или постоянным отказам в важных для безопасности каналах.

 

Надежность

Надежность это способность канала управления или компонента выполнять требуемую функцию в заданных условиях в течение заданного периода времени без провала. (Вероятность для конкретных компонентов или каналов управления можно рассчитать с помощью подходящих методов.) Надежность всегда должна указываться для определенного значения времени. В общем случае надежность можно выразить формулой на рисунке 2.

Рисунок 2. Формула надежности

Надежность сложных систем

Системы строятся из компонентов. Зная надежность компонентов, можно рассчитать надежность системы в целом. В таких случаях применяется следующее:

Серийные системы

Суммарная надежность R_{карапуз} последовательной системы, состоящей из N компонентов одинаковой надежности R_C рассчитывается как на рисунке 3.

Рис. 3. График надежности последовательно соединенных компонентов

Общая надежность ниже, чем надежность наименее надежного компонента. С увеличением количества последовательно соединенных компонентов общая надежность цепи значительно падает.

Параллельные системы

Суммарная надежность R_{карапуз} параллельной системы, состоящей из N компонентов одинаковой надежности R_C рассчитывается как на рисунке 4.

Рис. 4. График надежности параллельно соединенных компонентов

Общая надежность может быть значительно повышена за счет параллельного соединения двух или более компонентов.

Рисунок 5 иллюстрирует практический пример. Обратите внимание, что схема отключит двигатель более надежно. Даже если реле А или В не разомкнет свои контакты, двигатель все равно будет выключен.

Рисунок 5. Практический пример рисунка 4

Рассчитать общую надежность канала просто, если известны и доступны все необходимые надежности компонентов. В случае сложных компонентов (интегральные схемы, микропроцессоры и т. д.) расчет общей надежности затруднен или невозможен, если необходимая информация не опубликована изготовителем.

Безопасность

Когда профессионалы говорят о безопасности и призывают к безопасным машинам, они имеют в виду безопасность всей машины или системы. Однако эта безопасность носит слишком общий характер и недостаточно точно определена для разработчика средств управления. Следующее определение безопасность может быть практичным и полезным для разработчиков схем управления: безопасность — это способность системы управления выполнять требуемую функцию в заданных пределах в течение заданного времени, даже при возникновении ожидаемых отказов. Следовательно, при проектировании необходимо уточнить, насколько «безопасным» должен быть канал, связанный с безопасностью. (Проектировщик может разработать канал, защищенный от первого отказа, от любого одного отказа, от двух отказов и т. д.). быть неизбежно защищенным от неудач. Лучше всего это можно пояснить на следующих примерах:

Пример 1

Пример, показанный на рисунке 6, представляет собой важный для безопасности канал управления, выполняющий требуемую функцию безопасности. Первым компонентом может быть переключатель, контролирующий, например, положение двери доступа в опасную зону. Последним компонентом является двигатель, который приводит в движение движущиеся механические части в опасной зоне.

Рисунок 6. Важный для безопасности канал управления, выполняющий требуемую функцию безопасности

Требуемая функция безопасности в этом случае двойная: если дверь закрыта, двигатель может работать. Если дверь открыта, двигатель должен быть выключен. Зная надежность R₁ к р₆, можно рассчитать надежность R_{карапуз.} Разработчики должны использовать надежные компоненты, чтобы поддерживать достаточно высокую надежность всей системы управления (т. е. вероятность того, что эта функция все еще может выполняться, скажем, даже через 20 лет, должна быть учтена при проектировании). В результате проектировщики должны решить две задачи: (1) схема должна выполнять требуемую функцию и (2) надежность компонентов и всего канала управления должна быть адекватной.

Теперь следует задать следующий вопрос: будет ли вышеупомянутый канал выполнять требуемые функции безопасности, даже если в системе произойдет отказ (например, если контакт реле залипнет или компонент выйдет из строя)? Ответ - нет". Причина в том, что единый канал управления, состоящий только из последовательно соединенных компонентов и работающий со статическими сигналами, не застрахован от одного отказа. Канал может иметь только определенную надежность, гарантирующую вероятность выполнения функции. В таких ситуациях под безопасностью всегда подразумевают связанные с отказом.

Пример 2

Если канал управления должен быть одновременно надежным и безопасным, его конструкция должна быть изменена, как показано на рис. 7. Проиллюстрированный пример представляет собой важный для безопасности канал управления, состоящий из двух полностью разделенных подканалов.

Рис. 7. Важный для безопасности канал управления с двумя полностью отдельными подканалами

Эта конструкция защищена от первого отказа (и возможных последующих отказов в одном и том же подканале), но не застрахована от двух отказов, которые могут произойти в двух разных подканалах (одновременно или в разное время), поскольку отсутствует схема обнаружения отказа. Следовательно, изначально оба подканала работают с высокой надежностью (см. параллельную систему), но после первого отказа будет работать только один подканал, и надежность снижается. Если во все еще работающем субканале произойдет второй отказ, то оба будут неисправны, и функция безопасности больше не будет выполняться.

Пример 3

Пример, показанный на рисунке 8, представляет собой важный для безопасности канал управления, состоящий из двух полностью отдельных подканалов, которые контролируют друг друга.

Рисунок 8. Важный для безопасности канал управления с двумя полностью отдельными подканалами, которые контролируют друг друга

Такая конструкция является отказоустойчивой, поскольку после любого отказа только один подканал будет неработоспособен, а другой подканал останется доступным и будет выполнять функцию безопасности. Кроме того, в конструкции предусмотрена схема обнаружения отказа. Если из-за сбоя оба подканала не работают одинаково, это состояние будет обнаружено схемой «исключающее ИЛИ», в результате чего машина будет автоматически отключена. Это один из лучших способов проектирования элементов управления машиной — разработка подканалов, важных для безопасности. Они защищены от одного отказа и в то же время обеспечивают достаточную надежность, так что шансы одновременного возникновения двух отказов ничтожно малы.

избыточность

Очевидно, что существуют различные методы, с помощью которых разработчик может повысить надежность и/или безопасность (от отказов). Предыдущие примеры иллюстрируют, как функция (например, дверь закрыта, двигатель может работать; дверь открыта, двигатель должен быть остановлен) может быть реализована с помощью различных решений. Одни методы очень простые (один подканал), другие более сложные (два подканала с взаимным контролем). (См. рис. 9.)

Рис. 9. Надежность резервированных систем с обнаружением отказов или без них

В сложных схемах и/или компонентах есть определенная избыточность по сравнению с простыми. избыточность можно определить следующим образом: (1) Резервирование – это наличие большего количества средств (компонентов, каналов, повышенных коэффициентов запаса, дополнительных испытаний и т. д.), чем это действительно необходимо для простого выполнения требуемой функции; (2) избыточность явно не «улучшает» функцию, которая и так выполняется. Избыточность только повышает надежность и/или безопасность.

Некоторые специалисты по безопасности считают, что избыточность — это всего лишь удвоение, утроение и т. д. системы. Это очень ограниченная интерпретация, поскольку избыточность может интерпретироваться гораздо шире и гибче. Избыточность может быть не только включена в оборудование; он также может быть включен в программное обеспечение. Улучшение коэффициента безопасности (например, более прочная веревка вместо более слабой) также может рассматриваться как форма избыточности.

Энтропия

Энтропия, термин, встречающийся в основном в термодинамике и астрономии, можно определить следующим образом: Все имеет тенденцию к распаду. Поэтому абсолютно точно, что все компоненты, подсистемы или системы, независимо от используемой технологии, когда-нибудь выйдут из строя. Это означает, что не существует 100% надежных и/или безопасных систем, подсистем или компонентов. Все они просто более или менее надежны и безопасны в зависимости от сложности конструкции. Неудачи, неизбежно возникающие раньше или позже, демонстрируют действие энтропии.

Единственным средством, доступным разработчикам для противодействия энтропии, является избыточность, которая достигается за счет (а) повышения надежности компонентов и (б) обеспечения большей безопасности во всей схемной архитектуре. Только достаточно повысив вероятность того, что требуемая функция будет выполняться в течение требуемого периода времени, проектировщики могут в какой-то степени защититься от энтропии.

Оценка риска

Чем выше потенциальный риск, тем выше требуемая надежность и/или безопасность (от отказов) (и наоборот). Это иллюстрируется следующими двумя случаями:

Кейс 1

Доступ к пресс-форме, закрепленной в машине для литья под давлением, защищен дверью. Если дверь закрыта, машина может работать, а если дверь открыта, все опасные движения должны быть остановлены. Ни при каких обстоятельствах (даже при отказе в канале, связанном с безопасностью) не должно происходить каких-либо движений, особенно тех, которые приводят в действие инструмент.

Кейс 2

Доступ к автоматически управляемой сборочной линии, которая собирает небольшие пластиковые компоненты под пневматическим давлением, защищен дверью. Если эта дверь открыта, линию придется остановить.

В случае 1, если система контроля за дверью выйдет из строя, возможны серьезные травмы, если инструмент неожиданно закроется. В случае 2 отказ системы контроля двери может привести лишь к легкой травме или незначительному ущербу.

Очевидно, что в первом случае для достижения надежности и/или безопасности (от отказов), необходимых для защиты от экстремально высокого риска, требуется гораздо больше резервирования. Фактически, в соответствии с европейским стандартом EN 201, система контроля двери машины для литья под давлением должна иметь три канала; два из которых являются электрическими и взаимоконтролируемыми, а один из них в основном оснащен гидравликой и испытательными схемами. Все эти три надзорные функции относятся к одной и той же двери.

И наоборот, в приложениях, подобных описанному в Случае 2, один канал, активируемый переключателем с положительным действием, соответствует риску.

Категории управления

Поскольку все вышеизложенные соображения в основном основаны на теории информации и, следовательно, справедливы для всех технологий, не имеет значения, основана ли система управления на электронных, электромеханических, механических, гидравлических или пневматических компонентах (или их смеси). , или по какой-то другой технологии. Изобретательность проектировщика, с одной стороны, и экономические вопросы, с другой стороны, являются основными факторами, влияющими на почти бесконечное количество решений о том, как реализовать каналы, важные для безопасности.

Чтобы избежать путаницы, целесообразно установить определенные критерии сортировки. Наиболее типичные структуры каналов, используемые в системах управления машинами для выполнения функций, связанных с безопасностью, классифицируются в соответствии с:

• надежность
• поведение в случае неудачи
• время обнаружения отказа.

 

Их комбинации (показаны не все возможные комбинации) представлены в таблице 1.

Таблица 1. Некоторые возможные комбинации схемных структур в органах управления машиной для функций, связанных с безопасностью

 

Категория, применимая к конкретной машине и ее системе управления, связанной с безопасностью, в основном указана в новых европейских стандартах (EN), если национальный орган, пользователь и производитель не договорились о применении другой категории. Затем проектировщик разрабатывает систему управления, которая удовлетворяет требованиям. Например, соображения, определяющие структуру канала управления, могут включать следующее:

• Компоненты должны выдерживать ожидаемые воздействия. (ДА НЕТ)
• Их конструкция должна соответствовать современным стандартам. (ДА НЕТ)
• Используются проверенные компоненты и методы. (ДА НЕТ)
• Ошибка должен быть обнаружен. (ДА НЕТ)
• Будет ли выполняться функция безопасности даже в случае отказа? (ДА НЕТ)
• Когда будет обнаружен сбой? (НИКОГДА, РАНО, НЕМЕДЛЕННО)

 

Этот процесс обратим. По этим же вопросам можно решить, к какой категории относится существующий, ранее разработанный канал управления.

Примеры категорий

Категория B

Компоненты канала управления, используемые в первую очередь в потребительских товарах, должны выдерживать ожидаемые воздействия и быть спроектированы в соответствии с современным уровнем техники. Примером может служить хорошо спроектированный переключатель.

Категория 1

Использование хорошо зарекомендовавших себя компонентов и методов типично для Категории 1. Примером Категории 1 является переключатель с принудительным действием (т. е. требующий принудительного размыкания контактов). Этот переключатель имеет прочные детали и приводится в действие относительно большими усилиями, что обеспечивает чрезвычайно высокую надежность только при размыкании контактов. Несмотря на залипание или даже приваривание контактов, эти выключатели будут размыкаться. (Примечание: такие компоненты, как транзисторы и диоды, не считаются хорошо зарекомендовавшими себя компонентами.) Рисунок 10 служит иллюстрацией элемента управления категории 1.

Рисунок 10. Переключатель с положительным действием

Этот канал использует переключатель S с положительным действием. Контактор K контролируется лампочкой L. Оператору сообщается, что нормально разомкнутые (нормально разомкнутые) контакты замыкаются с помощью лампочки L. Контактор K имеет принудительно управляемые контакты. (Примечание: Реле или контакторы с принудительным управлением контактами имеют, по сравнению с обычными реле или контакторами, специальную клетку из изоляционного материала, так что если нормально замкнутые (НЗ) контакты замкнуты, все нормально разомкнутые контакты должны быть разомкнуты, и наоборот. наоборот. Это означает, что при использовании размыкающих контактов может быть сделана проверка, чтобы определить, что рабочие контакты не прилипают и не привариваются друг к другу.)

Категория 2

Категория 2 предусматривает автоматическое обнаружение отказов. Перед каждым опасным движением должно генерироваться автоматическое обнаружение отказа. Только если тест положительный, можно выполнять движение; в противном случае машина будет остановлена. Для световых барьеров используются автоматические системы обнаружения отказов, чтобы доказать, что они все еще работают. Принцип проиллюстрирован на рисунке 1.

Рис. 11. Схема, включающая детектор отказа

Эта система управления регулярно (или время от времени) проверяется путем подачи импульса на вход. В правильно работающей системе этот импульс затем будет передан на выход и сравнен с импульсом от тестового генератора. Когда присутствуют оба импульса, система, очевидно, работает. В противном случае, если нет выходного импульса, система вышла из строя.

Категория 3

Схема была ранее описана в примере 3 в разделе «Безопасность» этой статьи, рисунок 8.

Требование, т. е. автоматическое обнаружение отказов и возможность выполнения функции безопасности даже в случае возникновения одного отказа в любом месте, может быть выполнено двухканальными структурами управления и взаимным контролем двух каналов.

Только для систем управления машинами необходимо расследовать опасные отказы. Следует отметить, что существует два вида отказа:

• Не опасно отказы – это те, которые после своего возникновения вызывают «безопасное состояние» машины, обеспечивая отключение двигателя.
• опасно отказы - это те, которые после их возникновения вызывают "небезопасное состояние" машины, так как двигатель не может быть выключен или двигатель неожиданно начинает двигаться.

Категория 4

Категория 4 обычно предусматривает подачу на вход динамического, непрерывно изменяющегося сигнала. Наличие динамического сигнала на выходе означает Бег («1»), а отсутствие динамического сигнала означает остановить («0»).

Для такой схемы характерно, что после выхода из строя любого компонента динамический сигнал больше не будет поступать на выход. (Примечание: статический потенциал на выходе не имеет значения.) Такие схемы можно назвать «отказоустойчивыми». Все неисправности будут раскрыты сразу, а не после первого изменения (как в цепях категории 3).

Дополнительные комментарии по категориям управления

Таблица 1 разработана для обычных систем управления машинами и показывает только основные схемы; в соответствии с директивой по машинам она должна рассчитываться исходя из того, что за один машинный цикл произойдет только один отказ. Вот почему функция безопасности не должна выполняться в случае двух совпадающих отказов. Предполагается, что отказ будет обнаружен в течение одного машинного цикла. Машина будет остановлена, а затем отремонтирована. Затем система управления запускается снова, полностью работоспособная, без сбоев.

Первым намерением проектировщика должно быть недопущение «постоянных» отказов, которые не будут обнаружены в течение одного цикла, поскольку впоследствии они могут быть объединены с вновь возникающими отказами (накопление отказов). Такие комбинации (постоянная неисправность и новая неисправность) могут вызвать неисправность даже схем категории 3.

Несмотря на эту тактику, возможно, что два независимых отказа произойдут одновременно в течение одного и того же машинного цикла. Это очень маловероятно, особенно если использовались высоконадежные компоненты. Для приложений с очень высоким риском следует использовать три или более подканала. Эта философия основана на том факте, что среднее время наработки на отказ намного больше машинного цикла.

Однако это не означает, что таблица не может быть дополнительно расширена. Таблица 1 в основном и структурно очень похожа на таблицу 2, используемую в EN 954-1. Однако он не пытается включить слишком много критериев сортировки. Требования определяются в соответствии со строгими законами логики, поэтому можно ожидать только однозначных ответов (ДА или НЕТ). Это позволяет более точно оценивать, сортировать и классифицировать представленные схемы (каналы, связанные с безопасностью) и, что не менее важно, значительно улучшать воспроизводимость оценки.

Было бы идеально, если бы риски можно было классифицировать по различным уровням риска, а затем установить определенную связь между уровнями риска и категориями, причем все это независимо от используемой технологии. Однако это невозможно в полной мере. Вскоре после создания категорий стало ясно, что даже при одной и той же технологии ответы на различные вопросы были недостаточными. Что лучше: очень надежный и хорошо спроектированный компонент категории 1 или система, удовлетворяющая требованиям категории 3 с низкой надежностью?

Чтобы объяснить эту дилемму, нужно различать два качества: надежность и безопасность (от отказов). Они несопоставимы, так как оба эти качества имеют разные черты:

• Компонент с наивысшей надежностью имеет неприятную особенность, заключающуюся в том, что в случае отказа (даже крайне маловероятного) функция перестанет выполняться.
• Системы категории 3, в которых даже в случае одного отказа функция будет выполняться, не застрахованы от двух отказов одновременно (что может иметь значение, так это то, использовались ли достаточно надежные компоненты).

Принимая во внимание вышеизложенное, может оказаться, что лучшим решением (с точки зрения высокого риска) является использование высоконадежных компонентов и их конфигурация таким образом, чтобы схема была защищена как минимум от одного отказа (желательно больше). Понятно, что такое решение не самое экономичное. На практике процесс оптимизации в основном является следствием всех этих влияний и соображений.

Опыт практического использования категорий показывает, что редко возможно разработать систему управления, в которой можно использовать только одну категорию. Типичным является сочетание двух или даже трех частей, каждая из которых относится к разной категории, как показано в следующем примере:

Многие световые барьеры безопасности относятся к категории 4, в которой один канал работает с динамическим сигналом. В конце этой системы обычно есть два взаимно контролируемых подканала, которые работают со статическими сигналами. (Это соответствует требованиям для категории 3.)

В соответствии с EN 50100 такие световые барьеры классифицируются как Электрочувствительные защитные устройства типа 4, хотя они состоят из двух частей. К сожалению, нет единого мнения о том, как называть системы управления, состоящие из двух или более частей, каждая из которых относится к другой категории.

Программируемые электронные системы (ПЭС)

Принципы, используемые для создания таблицы 1, могут, конечно, с некоторыми ограничениями, в целом применяться и к PES.

система только PES

При использовании ПЭС для управления передача информации от датчика к активатору осуществляется через большое количество компонентов. Кроме того, он даже проходит «сквозь» программное обеспечение. (См. рис. 12).

Рисунок 12. Схема системы ПЭС

Хотя современные ПЭС очень надежны, надежность не так высока, как может потребоваться для выполнения функций безопасности. Кроме того, обычные системы ПЭС недостаточно безопасны, поскольку в случае отказа они не будут выполнять функцию, связанную с безопасностью. Поэтому использование ПЭС для отработки функций безопасности без каких-либо дополнительных мероприятий не допускается.

Приложения с очень низким уровнем риска: системы с одним PES и дополнительными мерами

При использовании одной ПЭС для управления система состоит из следующих основных частей:

Входная часть

Надежность датчика и входа ПЭС можно повысить, удвоив их. Такая конфигурация ввода с двойной системой может дополнительно контролироваться программным обеспечением, чтобы проверить, предоставляют ли обе подсистемы одинаковую информацию. Таким образом, сбои во входной части могут быть обнаружены. Это почти та же философия, что требуется для категории 3. Однако, поскольку надзор осуществляется программным обеспечением и только один раз, это может быть обозначено как 3- (или не так надежно, как 3).

Средняя часть

Хотя эту часть нельзя хорошо удвоить, ее можно проверить. При включении (или во время работы) может быть выполнена проверка всего набора команд. Через те же промежутки времени можно проверить и память по подходящим битовым комбинациям. Если такие проверки проводятся без сбоев, очевидно, что обе части, ЦП и память, работают правильно. Средняя часть имеет некоторые характеристики, типичные для категории 4 (динамический сигнал), и другие характеристики, характерные для категории 2 (тестирование проводится регулярно через соответствующие интервалы времени). Проблема в том, что эти тесты, несмотря на их обширность, не могут быть действительно полными, так как система с одним ПЭС по своей сути не позволяет их проводить.

Выходная часть

Как и вход, выход (включая активаторы) также может быть удвоен. Обе подсистемы можно контролировать по отношению к одному и тому же результату. Сбои будут обнаружены, и функция безопасности будет выполнена. Однако есть те же слабые места, что и во входной части. Следовательно, в данном случае выбирается категория 3.

На рис. 13 та же функция перенесена на реле. A и B. Контакты управления a и b, затем информирует две системы ввода, выполняют ли оба реле одинаковую работу (если не произошел сбой в одном из каналов). Надзор снова осуществляется программным обеспечением.

Рис. 13. Схема ПЭС с системой обнаружения отказов

Всю систему можно отнести к категории 3-/4/2/3-, если она выполнена правильно и широко. Тем не менее, описанные выше слабые места таких систем не могут быть полностью устранены. На самом деле усовершенствованные ПЭС фактически используются для функций, связанных с безопасностью, только там, где риски довольно низки (Hölscher and Rader 1984).

Приложения с низким и средним уровнем риска с одним PES

Сегодня почти каждая машина оснащена блоком управления PES. Для решения проблемы недостаточной надежности и, как правило, недостаточной защищенности от отказов обычно используются следующие методы проектирования:

• В относительно простых машинах, таких как лифты, функции делятся на две группы: (1) функции, не связанные с безопасностью, обрабатываются ПЭС; (2) связанные с безопасностью функции объединены в одну цепочку (цепь безопасности) и обрабатываются вне ПЭС (см. рисунок 14).

 

Рис. 14. Современное состояние останова категории 0

• Приведенный выше метод не подходит для более сложных машин. Одна из причин заключается в том, что такие решения обычно недостаточно безопасны. Для приложений со средним уровнем риска решения должны соответствовать требованиям категории 3. Общие представления о том, как могут выглядеть такие конструкции, представлены на рис. 15 и 16.

 

Рис. 15. Современное состояние останова категории 1

 

Рис. 16. Современное состояние останова категории 2

Приложения с высоким риском: системы с двумя (или более) PES.

Помимо сложности и дороговизны, нет других факторов, которые могли бы помешать разработчикам использовать полностью сдвоенные системы PES, такие как Siemens Simatic S5-115F, 3B6 Typ CAR-MIL и так далее. Обычно они включают в себя два идентичных PES с однородным программным обеспечением и предполагают использование «апробированных» PES и «апробированных» компиляторов (апробированными PES или компилятором можно считать тот, который во многих практических приложениях работает более 3 лет). показало, что систематические отказы явно устранены). Хотя эти двойные системы ПЭС не имеют слабых мест систем с одним ПЭС, это не означает, что двойные системы ПЭС решают все проблемы. (См. рис. 17).

Рисунок 17. Сложная система с двумя ПЭС

Систематические сбои

Систематические отказы могут возникать из-за ошибок в спецификациях, конструкции и по другим причинам и могут присутствовать как в аппаратном, так и в программном обеспечении. Системы Double-PES подходят для использования в приложениях, связанных с безопасностью. Такие конфигурации позволяют обнаруживать случайные отказы оборудования. С помощью разнообразия аппаратных средств, такого как использование двух разных типов или продуктов двух разных производителей, можно выявить систематические отказы аппаратных средств (крайне маловероятно, что идентичные систематические отказы аппаратных средств произойдут на обоих ПВУ).

ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ

Программное обеспечение является новым элементом в вопросах безопасности. Программное обеспечение либо правильное, либо неправильное (в отношении сбоев). После исправления программное обеспечение не может мгновенно стать неверным (по сравнению с аппаратным обеспечением). Цель состоит в том, чтобы устранить все ошибки в программном обеспечении или, по крайней мере, выявить их.

Существуют различные способы достижения этой цели. Один из них проверка программы (второй человек пытается обнаружить ошибки в последующем тесте). Другая возможность разнообразие программного обеспечения, в котором две разные программы, написанные двумя программистами, решают одну и ту же задачу. Если результаты совпадают (в определенных пределах), можно считать, что оба участка программы верны. Если результаты отличаются, предполагается наличие ошибок. (Обратите внимание, архитектура оборудования, естественно, также необходимо учитывать.)

Итого

При использовании PES, как правило, следует принимать во внимание те же самые следующие основные соображения (как описано в предыдущих разделах).

• К категории Б может быть отнесена одна система управления без резервирования. Одна система управления с дополнительными мероприятиями может быть отнесена к категории 1 и выше, но не выше 2.
• Система управления, состоящая из двух частей, с взаимным сравнением результатов может быть отнесена к Категории 3. Система управления, состоящая из двух частей, с взаимным сравнением результатов и большим или меньшим разнообразием, может быть отнесена к Категории 3 и подходит для приложений с более высоким риском.

Новым фактором является то, что для системы с ПЭС даже программное обеспечение должно оцениваться с точки зрения корректности. Программное обеспечение, если оно правильное, надежно на 100%. На данном этапе технологического развития, вероятно, не будут использоваться лучшие из возможных и известных технических решений, так как ограничивающими факторами остаются экономические факторы. Кроме того, различные группы экспертов продолжают разрабатывать стандарты для безопасного применения PES (например, EC, EWICS). Хотя уже существуют различные стандарты (VDE0801, IEC65A и т. д.), этот вопрос настолько широк и сложен, что ни один из них не может считаться окончательным.

 

Назад

Всякий раз, когда простое и обычное производственное оборудование, такое как станки, автоматизируется, результатом становятся сложные технические системы, а также новые опасности. Эта автоматизация достигается за счет использования систем числового программного управления (ЧПУ) на станках, называемых Станки с ЧПУ (например, фрезерные станки, обрабатывающие центры, сверла и шлифовальные станки). Чтобы иметь возможность идентифицировать потенциальные опасности, присущие автоматическим инструментам, необходимо проанализировать различные режимы работы каждой системы. Проведенный ранее анализ показывает, что следует проводить различие между двумя типами операций: нормальной операцией и специальной операцией.

Часто невозможно предписать требования безопасности для станков с ЧПУ в виде конкретных мер. Это может быть связано с тем, что существует слишком мало правил и стандартов, специфичных для оборудования, которые обеспечивают конкретные решения. Требования безопасности могут быть определены только в том случае, если возможные опасности систематически идентифицируются путем проведения анализа опасностей, особенно если эти сложные технические системы оснащены свободно программируемыми системами управления (например, станки с ЧПУ).

В случае вновь разработанных станков с ЧПУ производитель обязан провести анализ опасностей на оборудовании, чтобы определить, какие опасности могут присутствовать, и показать с помощью конструктивных решений, что все опасности для людей во всех различные режимы работы исключены. Все выявленные опасности должны быть подвергнуты оценке риска, при этом каждый риск события зависит от объема ущерба и частоты, с которой он может произойти. Оцениваемой опасности также присваивается категория риска (минимизированная, нормальная, повышенная). Там, где риск не может быть принят на основе оценки риска, должны быть найдены решения (меры безопасности). Целью этих решений является снижение частоты возникновения и масштабов ущерба от незапланированного и потенциально опасного инцидента («события»).

Подходы к решениям для нормальных и повышенных рисков можно найти в технологии косвенной и прямой безопасности; для минимизации рисков их можно найти в технологии реферальной безопасности:

• Технология прямой безопасности. На этапе проектирования принимаются меры по устранению любых опасностей (например, устранение точек сдвига и защемления).
• Технология косвенной безопасности. Опасность остается. Однако добавление технических средств предотвращает превращение опасности в событие (например, такие устройства могут включать в себя предотвращение доступа к опасным движущимся частям с помощью защитных кожухов, обеспечение устройств безопасности, отключающих питание, защиту от летающих предметов). части с использованием защитных ограждений и т. д.).
• Технология реферальной безопасности. Это относится только к остаточным опасностям и минимизированным рискам, то есть к опасностям, которые могут привести к событию в результате человеческого фактора. Возникновение такого события можно предотвратить соответствующим поведением заинтересованного лица (например, указаниями по поведению в руководствах по эксплуатации и техническому обслуживанию, обучением персонала и т. д.).

 

Международные требования безопасности

Директива ЕС по машинному оборудованию (89/392/EEC) от 1989 г. устанавливает основные требования безопасности и охраны здоровья для машин. (Согласно Директиве по машинному оборудованию, машина считается совокупностью взаимосвязанных частей или устройств, по крайней мере одно из которых может двигаться и, соответственно, выполняет определенную функцию.) Кроме того, международные органы по стандартизации создают отдельные стандарты для иллюстрации возможных решения (например, обращая внимание на фундаментальные аспекты безопасности или проверяя электрическое оборудование, установленное на промышленном оборудовании). Целью этих стандартов является определение целей защиты. Эти международные требования безопасности дают производителям необходимую правовую основу для указания этих требований в вышеупомянутых анализах опасностей и оценках рисков.

Режимы работы

При использовании станков различают нормальную работу и специальную работу. Статистические данные и исследования показывают, что большинство инцидентов и аварий не происходит при нормальной эксплуатации (т. е. при автоматическом выполнении соответствующего задания). Для этих типов машин и установок особое внимание уделяется специальным режимам работы, таким как ввод в эксплуатацию, настройка, программирование, пробные запуски, проверки, устранение неисправностей или техническое обслуживание. В этих режимах работы люди обычно находятся в опасной зоне. Концепция безопасности должна защищать персонал от вредных событий в подобных ситуациях.

Нормальная операция

К автоматическим станкам при нормальной работе относится следующее: (1) станок выполняет задание, для которого он был спроектирован и изготовлен, без какого-либо дальнейшего вмешательства оператора, и (2) применительно к простому токарному станку это означает, что заготовке придается правильная форма и образуется стружка. Если заготовка меняется вручную, смена заготовки представляет собой особый режим работы.

Специальные режимы работы

Особые режимы работы – это рабочие процессы, обеспечивающие нормальную работу. В этот заголовок, например, можно было бы включить замену заготовки или инструмента, исправление ошибки в производственном процессе, устранение неисправности машины, настройку, программирование, пробные запуски, очистку и техническое обслуживание. При нормальной работе автоматические системы выполняют свои задачи самостоятельно. Однако с точки зрения безопасности труда автоматическая нормальная работа становится критически важной, когда оператору приходится вмешиваться в рабочие процессы. Ни при каких обстоятельствах лица, участвующие в таких процессах, не должны подвергаться опасности.

Персонал

При охране станков необходимо учитывать лиц, работающих в различных режимах работы, а также третьих лиц. К третьим сторонам также относятся лица, косвенно связанные с машиной, такие как надзиратели, инспекторы, помощники по транспортировке материалов и демонтажным работам, посетители и другие.

Требования и меры безопасности для машинных принадлежностей

Вмешательства для работ в особых режимах работы означают, что необходимо использовать специальные приспособления для обеспечения безопасного выполнения работ. первый тип аксессуаров включает в себя оборудование и предметы, используемые для вмешательства в автоматический процесс без необходимости доступа оператора в опасную зону. Этот тип принадлежностей включает в себя (1) крюки для стружки и щипцы, которые сконструированы таким образом, что стружка в зоне обработки может быть удалена или удалена через отверстия, предусмотренные в защитных кожухах, и (2) устройства для зажима заготовки, с помощью которых производственный материал может быть вручную вставлен в автоматический цикл или удален из него

Различные специальные режимы работы, например ремонтные работы или работы по техническому обслуживанию, требуют вмешательства персонала в систему. И в этих случаях имеется целый ряд станочных приспособлений, призванных повысить безопасность труда, например приспособления для обращения с тяжелыми шлифовальными кругами при замене последних на шлифовальных станках, а также специальные крановые стропы для демонтажа или монтажа тяжелых деталей при машины проходят капитальный ремонт. Эти устройства являются второй тип приспособлений для повышения безопасности при работе на специальных операциях. Системы управления специальными операциями также можно рассматривать как второй тип принадлежностей машин. С такими аксессуарами можно безопасно выполнять определенные действия — например, устройство можно установить на оси станка, когда необходимы движения подачи с открытыми защитными ограждениями.

Эти специальные системы управления работой должны удовлетворять особым требованиям безопасности. Например, они должны гарантировать, что только запрошенное перемещение выполняется запрошенным способом и только в течение запрошенного времени. Поэтому система управления специальными операциями должна быть спроектирована таким образом, чтобы предотвратить превращение любого ошибочного действия в опасные движения или состояния.

Оборудование, повышающее степень автоматизации установки, можно рассматривать как третий тип принадлежностей для повышения безопасности труда. Действия, которые ранее выполнялись вручную, выполняются машиной автоматически при нормальной работе, например, оборудование, включая портальные загрузчики, которые автоматически меняют заготовки на станках. Обеспечение нормальной автоматической работы не вызывает особых проблем, поскольку вмешательство оператора в ход событий не требуется, а возможные вмешательства могут быть предотвращены защитными устройствами.

Требования и меры безопасности при автоматизации станков

К сожалению, автоматизация не привела к устранению аварий на производственных предприятиях. Исследования просто показывают сдвиг возникновения аварий от нормальной эксплуатации к специальной, в первую очередь за счет автоматизации нормальной эксплуатации, так что вмешательство в ход производства больше не требуется, а персонал, таким образом, больше не подвергается опасности. С другой стороны, высокоавтоматические машины представляют собой сложные системы, которые трудно оценить при возникновении неисправностей. Даже специалисты, привлекаемые для устранения неисправностей, не всегда могут сделать это без несчастных случаев. Количество программного обеспечения, необходимого для управления все более сложными машинами, растет в объеме и сложности, в результате чего все большее число инженеров-электриков и пусконаладчиков попадают в аварии. Не бывает безупречного программного обеспечения, и изменения в программном обеспечении часто приводят к изменениям где-то еще, чего не ожидали и не хотели. Чтобы предотвратить влияние на безопасность, опасные сбои в работе, вызванные внешними воздействиями и неисправностями компонентов, должны быть исключены. Это условие может быть выполнено только в том случае, если схема безопасности спроектирована максимально просто и отделена от остальных органов управления. Элементы или узлы, используемые в цепи безопасности, также должны быть безотказными.

Задача проектировщика - разработать конструкции, удовлетворяющие требованиям безопасности. Проектировщик не может не учитывать необходимые рабочие процедуры, включая специальные режимы работы, с большой тщательностью. Необходимо провести анализ, чтобы определить, какие безопасные рабочие процедуры необходимы, и эксплуатационный персонал должен с ними ознакомиться. В большинстве случаев потребуется система управления для спецопераций. Система управления обычно наблюдает за движением или регулирует его, в то же время никакое другое движение не должно инициироваться (поскольку для этой работы не требуется никаких других движений, и, следовательно, оператор их не ожидает). Система управления не обязательно должна выполнять одни и те же задачи в различных режимах спецоперации.

Требования и меры безопасности в нормальных и особых режимах эксплуатации

Нормальная операция

Спецификация целей безопасности не должна препятствовать техническому прогрессу, поскольку можно выбирать адаптированные решения. Использование станков с ЧПУ предъявляет максимальные требования к анализу опасностей, оценке рисков и концепциям безопасности. Далее более подробно описываются несколько целей безопасности и возможные решения.

Цель безопасности

• Ручной или физический доступ к опасным зонам во время автоматических движений должен быть предотвращен.

 

Возможные решения

• Предотвращайте ручной или физический доступ в опасные зоны с помощью механических барьеров.
• Обеспечьте устройства безопасности, которые реагируют на приближение (световые барьеры, защитные коврики) и безопасно отключают оборудование во время вмешательства или входа.
• Разрешайте ручной или физический доступ к оборудованию (или его окружению) только тогда, когда вся система находится в безопасном состоянии (например, с помощью блокирующих устройств с закрывающими механизмами на смотровых дверях).

 

Цель безопасности

• Должна быть устранена возможность травмирования людей в результате выброса энергии (разлетающихся частей или пучков энергии).

 

Возможное решение

• Предотвратить выход энергии из опасной зоны, например, с помощью защитного кожуха соответствующих размеров.

 

Спецоперация

Интерфейсы между нормальной и специальной работой (например, устройства блокировки дверей, световые барьеры, коврики безопасности) необходимы для того, чтобы система управления безопасностью автоматически распознавала присутствие персонала. Далее описываются некоторые специальные режимы работы (например, настройка, программирование) на станках с ЧПУ, требующие движений, которые должны оцениваться непосредственно на месте эксплуатации.

Цели безопасности

• Перемещения должны осуществляться только таким образом, чтобы они не представляли опасности для заинтересованных лиц. Такие движения должны выполняться только в запланированном стиле и скорости и продолжаться только до тех пор, пока это предписано.
• Их следует предпринимать только в том случае, если можно гарантировать, что никакие части человеческого тела не находятся в опасной зоне.

 

Возможное решение

• Установите специальные системы оперативного управления, которые допускают только контролируемые и управляемые движения с использованием управления кончиками пальцев с помощью кнопок «подтверждения». Таким образом, скорость движения безопасно снижается (при условии, что энергия была снижена с помощью изолирующего трансформатора или аналогичного контрольного оборудования).

 

Требования к системам управления безопасностью

Одной из особенностей системы управления безопасностью должно быть то, что функция безопасности гарантированно срабатывает всякий раз, когда возникают какие-либо неисправности, чтобы направлять процессы из опасного состояния в безопасное состояние.

Цели безопасности

• Неисправность в системе управления безопасностью не должна вызывать опасное состояние.
• Неисправность в системе управления безопасностью должна быть идентифицирована (немедленно или через определенные промежутки времени).

 

Возможные решения

• Внедрите избыточную и разнообразную компоновку электромеханических систем управления, включая тестовые схемы.
• Внедрите избыточную и разнообразную систему микропроцессорных систем управления, разработанную разными командами. Этот подход считается современным, например, в случае световых барьеров безопасности.

 

Заключение

Очевидно, что рост числа аварий в нормальных и специальных режимах эксплуатации невозможно остановить без четкой и безошибочной концепции безопасности. Этот факт необходимо учитывать при составлении правил и инструкций по технике безопасности. Новые руководящие принципы в форме целей безопасности необходимы для того, чтобы обеспечить передовые решения. Эта цель позволяет разработчикам выбрать оптимальное решение для конкретного случая и в то же время довольно просто продемонстрировать функции безопасности своих машин, описав решение для каждой цели безопасности. Затем это решение можно сравнить с другими существующими и принятыми решениями, и, если оно лучше или, по крайней мере, равноценно, можно выбрать новое решение. Таким образом, прогрессу не мешают узко сформулированные правила.

---

Основные характеристики Директивы ЕЭС по машинному оборудованию

Директива Совета от 14 июня 1989 г. о сближении законов государств-членов, касающихся машинного оборудования (89/392/ЕЕС), применяется к каждому отдельному государству.

• Каждое отдельное государство должно интегрировать директиву в свое законодательство.

• Действует с 1 января 1993 года.

• Требует, чтобы все производители придерживались современного уровня техники.

• Изготовитель должен подготовить технический файл конструкции, содержащий полную информацию обо всех основных аспектах безопасности и охраны здоровья.

• Производитель должен выдать декларацию соответствия и маркировку СЕ машин.

• Непредоставление полной технической документации в распоряжение государственного надзорного центра считается невыполнением инструкций по эксплуатации машин. Последствием может стать запрет на продажу в странах ЕЭС.

 

Цели безопасности при изготовлении и использовании станков с ЧПУ

1. Токарные станки

1.1 Нормальный режим работы

1.1.1 Рабочая зона должна быть ограждена таким образом, чтобы нельзя было ни преднамеренно, ни непреднамеренно попасть в опасные зоны автоматических движений или войти в них.

1.1.2 Инструментальный магазин должен быть защищен таким образом, чтобы нельзя было ни преднамеренно, ни непреднамеренно попасть в опасные зоны автоматических движений или войти в них.

1.1.3 Магазин заготовок должен быть защищен таким образом, чтобы нельзя было ни преднамеренно, ни непреднамеренно попасть в опасные зоны автоматических движений или войти в них.

1.1.4 Удаление стружки не должно приводить к травмам из-за стружки или движущихся частей станка.

1.1.5 Необходимо предотвращать травмы людей в результате доступа к приводным системам.

1.1.6 Необходимо исключить возможность проникновения в опасные зоны движущихся конвейеров для стружки.

1.1.7 Отлетающие детали или их части не должны причинять вред операторам или третьим лицам.

Например, это может произойти

• из-за недостаточной фиксации

• из-за недопустимой силы резания

• из-за недопустимой скорости вращения

• из-за столкновения с инструментом или частями машины

• из-за поломки заготовки

• из-за неисправных зажимных приспособлений

• из-за сбоя питания

 

1.1.8 Отлетающие зажимные приспособления для заготовок не должны приводить к травмам.

1.1.9 Отлетающая стружка не должна приводить к травмам.

1.1.10 Летающие инструменты или их части не должны приводить к травмам.

Например, это может произойти

• из-за дефектов материала

• из-за недопустимой силы резания

• из-за столкновения с заготовкой или частью машины

• из-за неправильного зажима или затягивания

 

1.2 Специальные режимы работы

1.2.1 Смена заготовки.

1.2.1.1 Зажим заготовки должен производиться таким образом, чтобы никакие части тела не могли быть зажаты между закрывающими зажимными приспособлениями и заготовкой или между наконечником продвигающейся втулки и заготовкой.

1.2.1.2 Должен быть предотвращен запуск привода (шпинделей, осей, втулок, револьверных головок или конвейеров для стружки) вследствие неправильной команды или неверной команды.

1.2.1.3 Должна быть обеспечена возможность безопасного манипулирования заготовкой вручную или с помощью инструментов.

1.2.2 Замена инструмента в держателе инструмента или револьверной головке.

1.2.2.1 Должна быть предотвращена опасность, возникающая из-за неправильного поведения системы или из-за ввода неверной команды.

1.2.3 Смена инструмента в инструментальном магазине.

1.2.3.1 Во время смены инструмента необходимо предотвратить перемещения в инструментальном магазине из-за ошибочной или недействительной команды.

1.2.3.2 Не должно быть возможности доступа к другим движущимся частям машины с места загрузки инструмента.

1.2.3.3 Не должно быть возможности проникнуть в опасные зоны при дальнейшем перемещении инструментального магазина или при обыске. Если ограждения для нормального режима работы сняты, эти движения могут быть только определенного вида и выполняться только в течение предписанного периода времени и только тогда, когда можно гарантировать, что никакие части тела не находятся в этих опасных зонах. .

1.2.4 Проверка измерений.

1.2.4.1 Доступ в рабочую зону должен быть возможен только после остановки всех движений.

1.2.4.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

1.2.5 Настройка.

1.2.5.1 Если при наладке выполняются перемещения со снятыми ограждениями для нормального режима работы, то оператор должен быть огражден другим способом.

1.2.5.2 Никакие опасные движения или изменения движений не должны инициироваться в результате неправильной команды или неверного ввода команды.

1.2.6 Программирование.

1.2.6.1 Во время программирования нельзя начинать никаких движений, которые могут представлять опасность для человека в рабочей зоне.

1.2.7 Производственный брак.

1.2.7.1 Должен быть предотвращен пуск привода в результате ошибочной команды при неверной уставке командного ввода.

1.2.7.2 Никакие опасные движения или ситуации не должны инициироваться перемещением или удалением заготовки или отходов.

1.2.7.3 В тех случаях, когда движения должны выполняться со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение установленного периода времени и только тогда, когда можно гарантировать, что никакие части тела находятся в этих опасных зонах.

1.2.8 Устранение неполадок.

1.2.8.1 Должен быть предотвращен доступ в опасные зоны автоматических движений.

1.2.8.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

1.2.8.3 Необходимо предотвратить движение машины при манипуляциях с неисправной деталью.

1.2.8.4 Необходимо предотвращать травмы людей в результате отколовшихся или падающих частей машины.

1.2.8.5 Если во время устранения неполадок должны выполняться движения со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение предписанного периода времени и только тогда, когда можно гарантировать, что никакие части тела не находятся в этих опасных зонах.

1.2.9 Неисправность и ремонт машины.

1.2.9.1 Запуск машины должен быть исключен.

1.2.9.2 Манипуляции с различными частями машины должны быть безопасными как вручную, так и с помощью инструментов.

1.2.9.3 Нельзя дотрагиваться до токоведущих частей машины.

1.2.9.4 Травмы не должны быть результатом выброса жидких или газообразных сред.

 

2. Фрезерные станки

2.1 Нормальный режим работы

2.1.1 Рабочая зона должна быть ограждена таким образом, чтобы нельзя было ни преднамеренно, ни непреднамеренно попасть в опасные зоны автоматических движений или войти в них.

2.1.2 Удаление стружки не должно приводить к травмам из-за стружки или движущихся частей станка.

2.1.3 Необходимо предотвращать травмы людей в результате доступа к приводным системам.

Отлетающие детали или их части не должны причинять вред операторам или третьим лицам.

Например, это может произойти

• из-за недостаточной фиксации

• из-за недопустимой силы резания

• из-за столкновения с инструментом или частями машины

• из-за поломки заготовки

• из-за неисправных зажимных приспособлений

• из-за сбоя питания

 

2.1.4 Отлетающие зажимные приспособления для заготовок не должны приводить к травмам.

2.1.5 Отлетающая стружка не должна приводить к травмам.

2.1.6 Летающие инструменты или их части не должны приводить к травмам.

Например, это может произойти

• из-за дефектов материала

• из-за недопустимой скорости вращения

• из-за недопустимой силы резания

• из-за столкновения с заготовкой или частью машины

• из-за неправильного зажима или затягивания

• из-за сбоя питания

 

Специальные режимы работы

2.2.1 Смена заготовки.

2.2.1.1 При использовании механических зажимных приспособлений не должно быть возможности защемления частей тела между закрывающими частями зажимного приспособления и заготовкой.

2.2.1.2 Должен быть предотвращен запуск привода (шпинделя, оси) в результате ошибочной команды или неверного ввода команды.

2.2.1.3 Манипуляции с заготовкой должны быть безопасными вручную или с помощью инструментов.

2.2.2 Смена инструмента.

2.2.2.1 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

2.2.2.2 Пальцы не должны быть защемлены при установке инструментов.

2.2.3 Проверка измерений.

2.2.3.1 Доступ в рабочую зону должен быть возможен только после остановки всех движений.

2.2.3.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

2.2.4 Настройка.

2.2.4.1 Если движения выполняются при наладке со снятыми ограждениями для нормального режима работы, оператор должен быть защищен другими средствами.

2.2.4.2 Никакие опасные движения или изменения движений не должны инициироваться в результате неправильной команды или неверного ввода команды.

2.2.5 Программирование.

2.2.5.1 Во время программирования не должно быть никаких движений, которые могут представлять опасность для человека в рабочей зоне.

2.2.6 Производственный брак.

2.2.6.1 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

2.2.6.2 Никакие опасные движения или ситуации не должны инициироваться перемещением или удалением заготовки или отходов.

2.2.6.3 В тех случаях, когда движения должны выполняться со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение установленного периода времени и только тогда, когда можно гарантировать, что никакие части тела находятся в этих опасных зонах.

2.2.7 Устранение неполадок.

2.2.7.1 Должен быть предотвращен доступ в опасные зоны автоматических движений.

2.2.7.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

2.2.7.3 Любое движение машины при манипуляциях с неисправной деталью должно быть предотвращено.

2.2.7.4 Необходимо предотвращать травмы людей в результате отколовшихся или падающих частей машины.

2.2.7.5 Если во время устранения неполадок должны выполняться движения со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение предписанного периода времени и только тогда, когда можно гарантировать, что никакие части тела не находятся в этих опасных зонах.

2.2.8 Неисправность и ремонт машины.

2.2.8.1 Запрещается запуск машины.

2.2.8.2 Манипуляции с различными частями машины должны быть возможны вручную или с помощью инструментов без какой-либо опасности.

2.2.8.3 Нельзя дотрагиваться до токоведущих частей машины.

2.2.8.4 Травмы не должны быть результатом выброса жидких или газообразных сред.

 

3. Обрабатывающие центры

3.1 Нормальный режим работы

3.1.1 Рабочая зона должна быть ограждена таким образом, чтобы невозможно было ни преднамеренно, ни непреднамеренно попасть в опасные зоны автоматических движений или войти в них.

3.1.2 Магазин инструментов должен быть защищен таким образом, чтобы невозможно было попасть в опасные зоны автоматических перемещений или войти в них.

3.1.3 Магазин заготовок должен быть защищен таким образом, чтобы невозможно было добраться до опасных зон автоматических перемещений или войти в них.

3.1.4 Удаление стружки не должно приводить к травмам из-за стружки или движущихся частей станка.

3.1.5 Необходимо предотвращать травмы людей в результате доступа к приводным системам.

3.1.6 Должна быть исключена возможность проникновения в опасные зоны движущихся транспортеров стружки (винтовых конвейеров и т.п.).

3.1.7 Отлетающие детали или их части не должны причинять вред операторам или третьим лицам.

Например, это может произойти

• из-за недостаточной фиксации

• из-за недопустимой силы резания

• из-за столкновения с инструментом или частями машины

• из-за поломки заготовки

• из-за неисправных зажимных приспособлений

• из-за перехода на неправильную заготовку

• из-за сбоя питания

 

3.1.8 Отлетающие зажимные приспособления для заготовок не должны приводить к травмам.

3.1.9 Отлетающая стружка не должна приводить к травмам.

3.1.10 Летающие инструменты или их части не должны приводить к травмам.

Например, это может произойти

• из-за дефектов материала

• из-за недопустимой скорости вращения

• из-за недопустимой силы резания

• из-за столкновения с заготовкой или частью машины

• из-за неправильного зажима или затягивания

• из-за вылета инструмента из устройства смены инструмента

• из-за неправильного выбора инструмента

• из-за сбоя питания

 

3.2 Специальные режимы работы

3.2.1 Смена заготовки.

3.2.1.1 При использовании механических зажимных приспособлений не должно быть возможности защемления частей тела между закрывающими частями зажимного приспособления и заготовкой.

3.2.1.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

3.2.1.3 Должна быть обеспечена возможность безопасного манипулирования заготовкой вручную или с помощью инструментов.

3.2.1.4 Если заготовка заменяется на зажимной станции, из этого места не должно быть возможности доступа или перехода к автоматическим последовательностям движения станка или магазина заготовок. Никакие движения не должны инициироваться системой управления, пока человек находится в зоне зажима. Автоматическая вставка зажатой детали в станок или магазин заготовок должна происходить только тогда, когда зажимная станция также защищена защитной системой, соответствующей системе для нормального режима работы.

3.2.2 Смена инструмента в шпинделе.

3.2.2.1 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

3.2.2.2 Пальцы не должны быть защемлены при установке инструментов.

3.2.3 Смена инструмента в инструментальном магазине.

3.2.3.1 Во время смены инструмента необходимо предотвращать перемещения в инструментальном магазине, возникающие из-за ошибочных команд или неверного ввода команд.

3.2.3.2 Не должно быть возможности доступа к другим движущимся частям машины с места загрузки инструмента.

3.2.3.3 Не должно быть возможности проникновения в опасные зоны при дальнейшем перемещении инструментального магазина или при обыске. Если ограждения для нормального режима работы сняты, эти движения могут быть только обозначенного типа и выполняться только в течение предписанного периода времени и только тогда, когда можно гарантировать, что никакие части тела не находятся в этих опасных зонах. .

3.2.4 Проверка измерений.

3.2.4.1 Доступ в рабочую зону должен быть возможен только после остановки всех движений.

3.2.4.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

3.2.5 Настройка.

3.2.5.1 Если при наладке выполняются перемещения со снятыми ограждениями для нормального режима работы, то оператор должен быть огражден другим способом.

3.2.5.2 Никакие опасные движения или изменения движения не должны инициироваться в результате неправильной команды или неверного ввода команды.

3.2.6 Программирование.

3.2.6.1 Во время программирования не должно быть никаких движений, которые могут представлять опасность для человека в рабочей зоне.

3.2.7 Производственный брак.

3.2.7.1 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

3.2.7.2 Никакие опасные движения или ситуации не должны инициироваться перемещением или удалением заготовки или отходов.

3.2.7.3 В тех случаях, когда движения должны выполняться со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение установленного периода времени и только тогда, когда можно гарантировать, что никакие части тела находятся в этих опасных зонах.

3.2.8 Устранение неполадок.

3.2.8.1 Должен быть предотвращен доступ в опасные зоны автоматических движений.

3.2.8.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

3.2.8.3 Любое движение машины при манипуляциях с неисправной деталью должно быть предотвращено.

3.2.8.4 Необходимо предотвращать травмы людей в результате отколовшихся или падающих частей машины.

3.2.8.5 Если во время устранения неполадок должны выполняться движения со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение предписанного периода времени и только тогда, когда можно гарантировать, что никакие части тела не находятся в этих опасных зонах.

3.2.9 Неисправность и ремонт машины.

3.2.9.1 Запрещается запуск машины.

3.2.9.2 Манипуляции с различными частями машины должны быть возможны вручную или с помощью инструментов без какой-либо опасности.

3.2.9.3 Нельзя дотрагиваться до токоведущих частей машины.

3.2.9.4 Травмы не должны быть результатом выброса жидких или газообразных сред.

 

4. Шлифовальные станки

4.1 Нормальный режим работы

4.1.1 Рабочая зона должна быть ограждена таким образом, чтобы нельзя было ни преднамеренно, ни непреднамеренно попасть в опасные зоны автоматических движений или войти в них.

4.1.2 Необходимо предотвращать травмы людей в результате доступа к приводным системам.

4.1.3 Отлетающие детали или их части не должны причинять вред операторам или третьим лицам.

Например, это может произойти

• из-за недостаточной фиксации

• из-за недопустимой силы резания

• из-за недопустимой скорости вращения

• из-за столкновения с инструментом или частями машины

• из-за поломки заготовки

• из-за неисправных зажимных приспособлений

• из-за сбоя питания

 

4.1.4 Отлетающие зажимные приспособления для заготовок не должны приводить к травмам.

4.1.5 Искрение не должно привести к травмам или возгоранию.

4.1.6 Отлетающие части шлифовальных кругов не должны приводить к травмам.

Например, это может произойти

• из-за недопустимой скорости вращения

• из-за недопустимой силы резания

• из-за дефектов материала

• из-за столкновения с заготовкой или частью машины

• из-за неадекватного зажима (фланцы)

• из-за использования неправильного шлифовального круга

 

Специальные режимы работы

4.2.1 Смена заготовки.

4.2.1.1 При использовании механических зажимных приспособлений не должно быть возможности защемления частей тела между закрывающими частями зажимного приспособления и заготовкой.

4.2.1.2 Должен быть предотвращен запуск привода подачи из-за ошибочной команды или неверного ввода команды.

4.2.1.3 При манипуляциях с заготовкой необходимо избегать травм, вызванных вращающимся шлифовальным кругом.

4.2.1.4 Не должно быть возможности получения травм в результате разрыва шлифовального круга.

4.2.1.5 Манипуляции с заготовкой должны быть безопасными вручную или с помощью инструментов.

4.2.2 Смена инструмента (замена шлифовального круга)

4.2.2.1 Запуск привода подачи в результате ошибочной команды или неверного ввода команды должен быть предотвращен.

4.2.2.2 Во время проведения измерений не должно быть возможности травм, вызванных вращающимся шлифовальным кругом.

4.2.2.3 Не должно быть возможности получения травм в результате разрыва шлифовального круга.

4.2.3 Проверка измерений.

4.2.3.1 Должен быть предотвращен запуск привода подачи из-за ошибочной команды или неверного ввода команды.

4.2.3.2 Во время проведения измерений не должно быть возможности травм, вызванных вращающимся шлифовальным кругом.

4.2.3.3 Не должно быть возможности получения травм в результате разрыва шлифовального круга.

4.2.4. Настраивать.

4.2.4.1 Если при наладке выполняются перемещения со снятыми ограждениями для нормального режима работы, то оператор должен быть огражден другим способом.

4.2.4.2 Никакие опасные движения или изменения движения не должны инициироваться в результате неправильной команды или неверного ввода команды.

4.2.5 Программирование.

4.2.5.1 Во время программирования не должно быть никаких движений, которые могут представлять опасность для человека в рабочей зоне.

4.2.6 Производственный брак.

4.2.6.1 Должен быть предотвращен запуск привода подачи из-за ошибочной команды или неверного ввода команды.

4.2.6.2 Никакие опасные движения или ситуации не должны инициироваться перемещением или удалением заготовки или отходов.

4.2.6.3 В тех случаях, когда движения должны выполняться со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение установленного периода времени и только тогда, когда можно гарантировать, что никакие части тела находятся в этих опасных зонах.

4.2.6.4 Необходимо избегать травм, вызванных вращающимся шлифовальным кругом.

4.2.6.5 Не должно быть возможности получения травм в результате разрыва шлифовального круга.

4.2.7 Устранение неполадок.

4.2.7.1 Должен быть предотвращен доступ в опасные зоны автоматических движений.

4.2.7.2 Должен быть предотвращен запуск привода в результате ошибочной команды или неверного ввода команды.

4.2.7.3 Любое движение машины при манипуляциях с неисправной деталью должно быть предотвращено.

4.2.7.4 Необходимо предотвращать травмы людей в результате отколовшихся или падающих частей машины.

4.2.7.5 Должны быть предотвращены телесные повреждения, вызванные касанием оператора или разрывом вращающегося шлифовального круга.

4.2.7.6 Если во время устранения неполадок должны выполняться движения со снятыми ограждениями для нормального режима работы, эти движения могут быть только обозначенного типа и выполняться только в течение предписанного периода времени и только тогда, когда можно гарантировать, что никакие части тела не находятся в этих опасных зонах.

4.2.8 Неисправность и ремонт машины.

4.2.8.1 Запрещается запуск машины.

4.2.8.2 Манипуляции с различными частями машины должны быть возможны вручную или с помощью инструментов без какой-либо опасности.

4.2.8.3 Нельзя дотрагиваться до токоведущих частей машины.

4.2.8.4 Травмы не должны быть результатом выброса жидких или газообразных сред.

 

Назад