O czerwonym przycisku zatrzymania…

Zgodnie z normą PN-EN ISO 13850, urządzeniami zatrzymania awaryjnego mogą być:

Wg p. 3.38 PN-EN ISO 12100 urządzenie awaryjne aktywowane jest w sytuacji awaryjnej. Jest to sytuacja, która może powstać podczas normalnego działania maszyny (np. wskutek współdziałania z człowiekiem lub w wyniku wpływów zewnętrznych) albo jako skutek wadliwego działania lub uszkodzenia jakiejś części maszyny i wymaga bezzwłocznego jej zakończenia lub odwrócenia.

Wszystkie te definicje podane są w jednym celu – aby zrozumieć i zidentyfikować funkcje bezpieczeństwa w celu prawidłowego zakodowania elementów sterowniczych barwą czerwoną zgodnie z tabela 2 normy PN-EN 60204-1. Wspomniana norma zawiera dodatkowe informacje, które dopiero w tym miejscu artykułu mogę przytoczyć. Najlepiej w formie cytatów (p. 10.2.1):

Barwę CZERWONĄ należy stosować do elementów sterowniczych zatrzymania awaryjnego i wyłączania awaryjnego.

BIAŁA, SZARA lub CZARNA są barwami zalecanymi do przycisków sterowniczych, które powodują działanie, gdy są wciśnięte, i zaprzestanie działania, gdy są zwolnione (na przykład podtrzymanie ruchu).

Barwy CZERWONA, ŻÓŁTA lub ZIELONA nie powinny być używane.

Do elementów sterowniczych ZATRZYMANIE/O należy stosować barwy CZARNĄ, SZARĄ lub BIAŁĄ, przy pierwszeństwie CZARNEJ. ZIELONA nie powinna być używana. CZERWONA jest również dopuszczalna, lecz zaleca się, aby CZERWONA nie była używana w pobliżu urządzenia realizującego działania awaryjne.

Właśnie doszliśmy do meritum sprawy. Ten zapis lubią audytorzy i widząc takie zdjęcie jak poniżej, zacierają ręce i dumnie zaznaczają niezgodność w swoich notatkach, aby później wpisać  raporcie nakaz wymiany takiego przycisku na inny kolor, aby tylko pod żadnym pozorem nie był on czerwony.

Zastanówmy się jednak, czy audytor taki może mieć rację. Przede wszystkim, norma zaleca, aby czerwona nie była używana w pobliżu urządzenia realizującego działania awaryjne. Nie ma tu sformułowania nakazu. Zgodzę się jednak z tym, że zalecenie to – jeśli zostało użyte w normie – należy traktować jako formę dobrej praktyki inżynierskiej, ale z drugiej zaś strony, zalecenie to dotyczy elementów sterowniczych zatrzymania, czyli elementów kodowania przyciskiem białym, szarym lub czarnym, do ogólnego uruchamiania (różnych) funkcji z wyjątkiem zatrzymania awaryjnego. Taką ogólną funkcją są przyciski start i stop na powyższym zdjęciu, służące do włączania i wyłączania wybranego uprzednio trybu pracy ręcznej lub automatycznej. Przycisk stop, podłączony do cyfrowego wejścia sterownika PLC nie realizuje w tym przypadku funkcji bezpieczeństwa (nie służy do pobudzania w stanie awaryjnym) i barwa czarna jest tu jak najbardziej wskazana. W takim przypadku, gdyby przycisk czarny STOP byłby przyciskiem kodowanym barwą czerwoną, jak najbardziej można audytorowi przyznać rację. Przyjrzyjmy się teraz schematowi powyższego pulpitu operatorskiego:

Osobną kwestią do zastanowienia się nad tym byłaby sytuacja, kiedy wyłączenie sterowania spowodowałoby odłączenie źródła zasilania elementów, które po odłączeniu mogą nadal poruszać się pod wpływem energii kinetycznej (np. rozpędzone wrzeciono). Przypomnijmy: wyłączenie awaryjne realizowane jest przy użyciu kategorii zatrzymania 0, więc uaktywnienie takiego przycisku mogłoby nie zainicjować natychmiastowego zatrzymania niebezpiecznych funkcji maszyny. Takie działanie może stać się niebezpieczne, bowiem pomylenie tych dwóch przycisków w takim przypadku może spowodować sytuację zagrożenia. W normie PN-EN 60204-1 p. 10.8.1 jest wyraźny zapis, że „gdy będzie konieczne wyposażenie stacji operatorskiej w urządzenie zatrzymania awaryjnego i urządzenie wyłączania awaryjnego, to należy wprowadzić środki do uniknięcia pomylenia tych dwóch urządzeń”. Mimo tego, że konstrukcja i wygląd urządzenia zatrzymania awaryjnego może się różnić od konstrukcji i wyglądu urządzenia wyłączenia awaryjnego, bezsprzecznie powstaje niebezpieczeństwo pomylenia tych dwóch przycisków. Zapytacie kiedy? W momencie zagrożenia operator zachowuje się w sposób nieracjonalny. Jeśli go nie zamuruje to wciska co popadnie, w podświadomości jednak ukryty jest głęboko czerwony kolor i najprawdopodobniej tego będzie szukał. Jeśli wciśnie nie ten co trzeba, może dojść do poważnego wypadku. W takiej sytuacji zgodzę się, że przycisk czerwony wyłączenia sterowania (realizujący funkcję wyłączenia awaryjnego) nie powinien być w pobliżu przycisku zatrzymania awaryjnego, no chyba, że analiza ryzyka wykluczy wszelkie możliwości powstania zagrożenia poprzez odpowiednie zabezpieczenia. Można również zastanowić się w tym wypadku, czy nie zmienić kolor czerwonego przycisku wyłączenia sterowania na inny, np. czarny.

Do elementów sterowniczych ZATRZYMANIE/O należy stosować barwy CZARNĄ, SZARĄ lub BIAŁĄ, przy pierwszeństwie CZARNEJ. ZIELONA nie powinna być używana. CZERWONA jest również dopuszczalna, lecz zaleca się, aby CZERWONA nie była używana w pobliżu urządzenia realizującego działania awaryjne.

Co to znaczy „w pobliżu”? Czy została gdzieś przedstawiona granica bliskości, przekraczając którą można uznać, że elementy sterownicze nie uznaje się za umieszczone blisko siebie?  Okazuje się, że tak. Opisano to w normie PN-EN 894-4 „Bezpieczeństwo maszyn; Wymagania ergonomiczne dotyczące projektowania wskaźników i elementów sterowniczych; Część 4: Umiejscowienie i rozmieszczenie wskaźników i elementów sterowniczych”. P. 5.4.2.2 opisuje zasadę bliskości (odległość). Wg opisu w tym punkcie, „wrażenie związku operacyjnego w grupie daje minimalna odległość (bliskość) wśród innych dużych odległości między elementami w zespole. Większe odległości między mniejszymi oddzielają zespoły i rozdzielają grupy, jak przedstawiono na rysunku:”

Z zasadą bliskości wiąże się klika warunków, z których najważniejsze to, że elementy o wielu różnych kształtach mogą być grupowane z zastosowaniem bliskości i to, że odległość między elementami w grupach lub w podziałach zależą w dużym stopniu od kształtów.

Norma nie podaje kryteriów odległościowych wyrażonych w jednostkach miary, co oznacza, że grupowanie jest subiektywne. Jedyną miarą jest zalecenie, aby podgrupy utworzone wg odległości miały 70-100% odległości do elementów w innych podgrupach, cokolwiek – o zgrozo – miałoby to oznaczać. Dlaczego o zgrozo? Dlatego, że nie podano od czego należałoby wyliczyć te procenty.

Przykład po lewej pokazuje jedną podgrupę, w której ukryty jest przycisk zatrzymania awaryjnego. W grupie tej nie ma co prawda innego przycisku koloru czerwonego, więc problem jako taki opisywany w tym, artykule nie istnieje. Nietrudno z drugiej strony wyobrazić siebie, że gdyby taki przycisk znalazł się w tej podgrupie, z zasady bliskości opisanej w normie PN-EN 894-4 wynikałoby jasno, że przyciski są umieszczone blisko siebie.

Przykład po prawej pokazuje dwie podgrupy, w której oddzielono dwa przyciski czerwone realizujące zatrzymanie awaryjne i wyłączenie awaryjne. W myśl zasady bliskości przyciski te nie zostały umieszczone blisko siebie, zgodnie z opisem w normie PN-EN 894-4 „większe odległości między mniejszymi oddzielają zespoły i rozdzielają grupy”.

Norma jedno, a praktyka drugie. Tak jak już pisałem, w momencie zagrożenia operator zachowuje się w sposób nieracjonalny i powołując się tylko na zasadę bliskości trudno jest udowodnić, że rozdzielenie grup jest wystarczające do udowodnienia, że pomylenia dwóch czerwonych przycisków nie będzie. Zanim jednak zajdzie konieczność wyposażenia stanowiska operatorskiego tylko w jedno urządzenie sterownicze koloru czerwonego, należy sprawdzić, jaką w rzeczywistości funkcję pełni dodatkowe urządzenie sterownicze koloru czerwonego. Tymczasem audytorzy czepiają się takich przypadków jak w przykładzie po lewej stronie głównie z takiego powodu, że tak zostali nauczeni. Często nie sprawdzają, jaką funkcję realizuje przycisk czerwony niepodobny do urządzenia zatrzymania awaryjnego, stąd postanowiłem coś na ten temat napisać, co ja o tym sądzę.

Oczywiście nie uważam się za wszechwiedzącego w każdej kwestii, jaką opisuję, dlatego chętnie zapoznam się z komentarzami i podzielę się spostrzeżeniami.