Jak przeprowadzić ocenę ryzyka dla robota – krok po kroku

Ocena ryzyka dla robota to jeden z tych procesów, który decyduje o tym, czy stanowisko zautomatyzowane jest bezpieczne nie tylko na papierze, ale też w codziennej pracy na hali. Dotyczy każdego wdrożenia – od prostej celi spawalniczej po złożone systemy z robotami kolaboracyjnymi lub mobilnymi platformami AMR.

Ten artykuł skierowany jest do inżynierów wdrożeniowych, integratorów systemów robotycznych i osób odpowiedzialnych za bezpieczeństwo maszyn, które chcą przeprowadzić ten proces metodycznie i zgodnie z obowiązującymi normami.

Znajdziesz tu kompletny opis procesu – od zdefiniowania granic systemu, przez identyfikację zagrożeń i szacowanie ryzyka, aż po dobór środków zabezpieczających, walidację i dokumentację.

Najważniejsze informacje z tego artykułu:

• Ocena ryzyka robota musi obejmować kompletny system robotyczny – ramię, narzędzie, detal, sterowanie i środowisko – a nie tylko sam manipulator.
• Metodyczną podstawą jest ISO 12100, a normy ISO 10218-1/-2 oraz ISO/TR 14121-2 dostarczają szczegółowych narzędzi dla systemów robotycznych.
• Każdej funkcji bezpieczeństwa należy przypisać wymagany poziom PLr lub SILr na podstawie parametrów S, F, P, A i zweryfikować go obliczeniowo oraz pomiarowo.
• Dla robotów kolaboracyjnych wymagana jest dodatkowa analiza biomechaniczna kontaktu zgodnie z ISO/TS 15066 i nowymi wydaniami ISO 10218-2:2025.
• Kompletny plik bezpieczeństwa musi zawierać raporty z oceny ryzyka, specyfikacje funkcji bezpieczeństwa, protokoły walidacji i opis ryzyk resztkowych.

Jak przeprowadzić ocenę ryzyka dla robota – krok po kroku?

Proces oceny ryzyka dla robota to sekwencja ściśle powiązanych ze sobą kroków, które razem prowadzą od opisu systemu do udokumentowanego potwierdzenia, że wdrożone środki zabezpieczające redukują ryzyko do akceptowalnego poziomu. Metodyczną podstawą jest norma ISO 12100, a normy ISO 10218-1 i ISO 10218-2 – w tym nowe wydanie z 2025 roku – odsyłają do niej explicite jako jedynej uznanej metodyki zarządzania ryzykiem dla systemów robotycznych. Praktyczne narzędzia znajdziesz z kolei w ISO/TR 14121-2, która opisuje konkretne metody: listy kontrolne, wykresy ryzyka oraz metodę hybrydową łączącą jakościowy opis scenariuszy z częściową kwantyfikacją parametrów.

Poniżej opisuję każdy krok szczegółowo, tak jak wygląda to podczas rzeczywistych wdrożeń.

Krok 1 – zdefiniuj granice systemu i fazy cyklu życia

Przedmiotem oceny ryzyka nie jest sam robot. Zgodnie z ISO 10218-2 ocenie podlega kompletny system robotyczny, który obejmuje:

• Manipulator i wszystkie jego osie ruchu.
• Chwytak, narzędzie lub efektorkoń­cowy (wraz z wymienianymi narzędziami).
• Detal obrabiany lub przenoszony.
• Urządzenia pomocnicze – podajniki, przenośniki, mocowania, stoły obrotowe.
• System sterowania, w tym sterownik bezpieczeństwa i interfejsy z innymi maszynami.
• Środki ochronne – kurtyny świetlne, skanery laserowe, ogrodzenia, blokady.
• Zasilanie elektryczne, pneumatyczne i hydrauliczne.
• Środowisko instalacji – hala, ciągi piesze, inne maszyny w pobliżu.

Oprócz granic przestrzennych musisz też określić granice czasowe – czyli fazy cyklu życia systemu, dla których przeprowadzasz analizę. To właśnie tutaj większość analiz jest niekompletna. Skupienie się wyłącznie na trybie automatycznym to jeden z częstszych błędów, który w razie incydentu podczas serwisu lub usuwania zakleszczenia może mieć poważne konsekwencje.

Fazy, które musisz objąć analizą:

• Projekt i koncepcja stanowiska.
• Programowanie, uczenie robota (teach-in).
• Uruchomienie i komisjonowanie.
• Normalna praca – różne tryby automatyczne.
• Usuwanie zakleszczeń i awarii (un-jamming).
• Konserwacja planowa i nieplanowana.
• Modyfikacje programu, layoutu lub narzędzia.
• Demontaż i wycofanie z eksploatacji.

Wskazówka: Faza usuwania zakleszczeń i serwisu generuje historycznie wysoki odsetek incydentów przy robotach przemysłowych. Dla tych faz zaprojektuj osobne środki bezpieczeństwa – nie zakładaj, że te same zabezpieczenia, które chronią operatora podczas pracy automatycznej, wystarczą podczas interwencji ręcznej.

Krok 2 – zidentyfikuj zagrożenia metodą zadaniową

Gdy masz już zdefiniowane granice systemu, możesz przejść do identyfikacji zagrożeń. Podejście, które daje najlepsze rezultaty dla złożonych systemów robotycznych, to metodyka zadaniowa (task-based risk assessment), opisana w ISO 10218-2 i szeroko stosowana w projektach z robotami kolaboracyjnymi.

Polega ona na tym, że dla każdej sekwencji zadań operatora i robota opisujesz stan systemu: co robi robot, gdzie znajduje się operator, jakie zabezpieczenia są aktywne, jakie ruchy są możliwe. Dopiero na tym tle identyfikujesz możliwe zdarzenia niebezpieczne.

Przykład dla stanowiska załadunku ręcznego:

• Zadanie – operator wchodzi do strefy ładowania, aby umieścić detal w gnieździe.
• Stan robota – robot czeka na sygnał gotowości (monitorowany stop lub SSM).
• Możliwe zdarzenia niebezpieczne – nieoczekiwane uruchomienie robota przed wyjściem operatora, kontakt ramienia z ręką operatora podczas umieszczania detalu, poślizg detalu i uderzenie operatora.

Typowe kategorie zagrożeń dla systemów robotycznych, które musisz sprawdzić dla każdego zadania:

• Zagrożenia mechaniczne – zgniecenie, ścinanie, wciągnięcie, uderzenie, przebicie, tarcie.
• Zagrożenia elektryczne – dotyk bezpośredni, pośredni, wyładowania elektrostatyczne.
• Zagrożenia termiczne – gorące powierzchnie narzędzia lub detalu, spawanie, klejenie.
• Zagrożenia generowane przez hałas i drgania.
• Zagrożenia wynikające z emisji substancji (spawalnicze gazy, pył, dym).
• Zagrożenia związane z błędami ludzkimi – pomijanie procedur, mostkowanie czujników.
• Zagrożenia wynikające z awarii systemu – utrata zasilania, błędna konfiguracja, awaria czujnika.

ISO/TR 14121-2 dostarcza tu praktyczne listy kontrolne i gotowe katalogi zagrożeń, ale norma wyraźnie zaznacza, że żadna lista nie jest wyczerpująca – każdy system wymaga osobnej, kontekstowej analizy.

Krok 3 – oszacuj ryzyko dla każdego zagrożenia

Gdy masz listę zagrożeń i scenariuszy, dla każdego z nich musisz oszacować poziom ryzyka. ISO 12100 definiuje cztery parametry oceny:

Oceny S/F/P/A przypisujesz na podstawie analizy konkretnego scenariusza, a nie ogólnych wrażeń. Jeśli robot podczas trybu automatycznego porusza się z prędkością 2 m/s w kierunku strefy ładowania, a operator nie ma sygnalizacji ostrzegawczej i może wejść do strefy bez wyzwolenia zatrzymania, parametr A będzie niekorzystny – nawet jeśli samo zagrożenie wydaje się rzadkie.

Metoda hybrydowa opisana w ISO/TR 14121-2 łączy ten jakościowy opis z wymaganiami dla funkcji bezpieczeństwa i jest zalecana właśnie dlatego, że dla złożonych systemów robotycznych pełna ilościowa analiza jest zazwyczaj niepraktyczna.

Krok 4 – oceń ryzyko i zdecyduj, czy wymaga redukcji

Na podstawie parametrów S/F/P/A oceniasz, czy ryzyko jest akceptowalne w obecnym stanie, czy wymaga redukcji. ISO 12100 nie definiuje jednego sztywnego algorytmu punktowego – zamiast tego używa się wykresów ryzyka lub macierzy, które pozwalają ocenić, na jakim poziomie jest dane ryzyko i jaki poziom redukcji jest wymagany.

Jeśli ryzyko wymaga redukcji, musisz zastosować środki zgodnie z hierarchią ISO 12100:

1. Projektowanie inherentnie bezpieczne – eliminacja zagrożenia u źródła (np. zmiana trajektorii robota, zmiana geometrii narzędzia, eliminacja ostrych krawędzi, zmiana procesu).
2. Techniczne środki ochronne – osłony stałe, ogrodzenia, kurtyny świetlne, skanery laserowe, maty naciskowe, funkcje bezpieczeństwa w sterowniku.
3. Informacje dla użytkownika – instrukcje, procedury, znaki ostrzegawcze, szkolenia, środki ochrony indywidualnej (PPE).

Środki z trzeciego poziomu hierarchii są najmniej niezawodne i stosowane wyłącznie wtedy, gdy dwa pierwsze poziomy nie eliminują całkowicie ryzyka. Informacje dla użytkownika nigdy nie zastępują środków technicznych.

Krok 5 – zdefiniuj funkcje bezpieczeństwa i wyznacz PLr/SILr

Dla każdego technicznego środka ochronnego musisz zdefiniować funkcję bezpieczeństwa – czyli co dokładnie robi dany element w sensie sterowania bezpieczeństwem – a następnie wyznaczyć wymagany poziom niezawodności tej funkcji.

Typowe funkcje bezpieczeństwa w systemach robotycznych:

• Zatrzymanie awaryjne (E-stop) – inicjowanie bezpiecznego zatrzymania robota przy naciśnięciu przycisku.
• Stop ochronny przy naruszeniu strefy – wyzwolenie zatrzymania przy przecięciu kurtyny lub wejściu w strefę skanera.
• Monitorowanie bezpiecznej prędkości (SLS) – wykrywanie przekroczenia zadanej prędkości i inicjowanie zatrzymania.
• Ograniczenie obszaru pracy (soft limits i SLP) – zatrzymanie przed wejściem ramienia w zdefiniowaną granicę.
• Bezpieczne monitorowanie pozycji (SMP) – weryfikacja, że ramię pozostaje w określonej pozycji.
• Ograniczenie mocy i siły (PFL) – nadzór momentów i sił kontaktu.
• Reset ręczny po zadziałaniu zabezpieczenia – zapobieganie automatycznemu restartowi bez potwierdzenia operatora.

Dla każdej z tych funkcji wyznaczasz wymagany poziom zapewnienia bezpieczeństwa za pomocą normy EN ISO 13849-1 (wynik to PLr – od PLa do PLe) lub EN IEC 62061 (wynik to SILr – od SIL 1 do SIL 3). Obydwa podejścia są równorzędne, a między poziomami PL i SIL istnieje zdefiniowana korelacja, więc możesz je stosować łącznie dla różnych części systemu.

Szczegółowe omówienie metod wyznaczania PLr i SILr, a także projektowania architektury SRP/CS, znajdziesz w opisie poziomów PL i SIL w robotyce, gdzie krok po kroku omawiam zastosowanie wykresu ryzyka z załącznika A normy ISO 13849-1.

Gdy masz określone PLr, projektujesz architekturę systemu sterowania bezpieczeństwem (kategoria B–4, poziom diagnostyczny DC, MTTFd komponentów, odporność na błędy wspólnej przyczyny CCF) i weryfikujesz obliczeniowo, czy osiągnięty PL jest co najmniej równy PLr. Narzędziem do obliczeń jest m.in. program SISTEMA opracowany przez IFA.

Wskazówka: Nowe ISO 10218-2:2025 odchodzi od wcześniejszego sztywnego wymagania PLd Kategorii 3 dla wszystkich funkcji bezpieczeństwa. Ostateczny wymagany poziom PL lub SIL musi wynikać z oceny ryzyka konkretnego zastosowania – nie z domyślnego założenia. Zawsze dokumentuj, skąd pochodzi dana wartość PLr.

Krok 6 – wyznacz odległości bezpieczeństwa i zwaliduj czasy zatrzymania

Gdy masz już zaprojektowane środki ochronne, musisz obliczyć i fizycznie zweryfikować, czy urządzenia ochronne są ustawione w odpowiedniej odległości od strefy zagrożenia. Do tego służy norma ISO 13855, która opisuje metodę wyznaczania minimalnej odległości bezpieczeństwa na podstawie:

• Prędkości zbliżania się człowieka (normatywnie: chód 1600 mm/s, ruch ręki 2000 mm/s).
• Łącznego czasu reakcji systemu – czas odpowiedzi urządzenia ochronnego, czas reakcji sterowania bezpieczeństwem, czas hamowania robota.

Postępuj w następujący sposób:

1. Zmierz rzeczywisty czas zatrzymania robota w najgorszym scenariuszu – maksymalna prędkość, maksymalne obciążenie, kierunek ruchu w stronę operatora, uwzględniając stan zużycia hamulców.
2. Odczytaj czas reakcji wybranego urządzenia ochronnego (kurtyna, skaner, mata) z dokumentacji producenta.
3. Zsumuj oba czasy i oblicz minimalną odległość bezpieczeństwa wg formuły ISO 13855.
4. Ustaw urządzenie ochronne w tej odległości lub dalej.
5. Przeprowadź fizyczny test – zmierz czas zatrzymania urządzeniem pomiarowym i sprawdź praktycznie, że przecięcie strefy detekcji faktycznie zatrzymuje robota przed wejściem człowieka w strefę zagrożenia.

Obliczenia to za mało. Zużycie hamulców, zmiana narzędzia lub zmiana masy ładunku mogą istotnie wydłużyć czas hamowania względem wartości nominalnych. Dlatego ISO 10218-2 wymaga walidacji pomiarowej, a nie tylko obliczeniowej. Więcej o tym, jak wygląda cały proces walidacji funkcji bezpieczeństwa robota, opisuję oddzielnie, uwzględniając tam też typowe pułapki pomiarowe.

Jakie normy i przepisy regulują ocenę ryzyka robota?

Ramy prawne i normatywne dla oceny ryzyka systemów robotycznych tworzą kilka warstw, które wzajemnie się uzupełniają.

Przepisy prawne

Każde stanowisko zautomatyzowane wprowadzane na rynek UE podlega Dyrektywie Maszynowej 2006/42/WE lub – dla maszyn wyprodukowanych po 14 stycznia 2027 roku – Rozporządzeniu (UE) 2023/1230. Oba akty wymagają udokumentowanej oceny ryzyka jako warunku wystawienia Deklaracji Zgodności CE. Rozporządzenie 2023/1230 rozszerza obowiązki o aspekty cyberbezpieczeństwa, funkcje oprogramowania i sztucznej inteligencji oraz autonomiczne roboty mobilne.

Normy zharmonizowane

Stosowanie poniższych norm zharmonizowanych tworzy domniemanie zgodności z zasadniczymi wymaganiami bezpieczeństwa:

Szczegółowe omówienie tego, czym jest bezpieczeństwo funkcjonalne w robotyce i jak przekłada się na konkretne wymagania projektowe, pozwoli Ci lepiej zrozumieć, jak korzystać z tych norm w praktyce.

Jak wygląda analiza ryzyka robota przemysłowego w praktyce?

Abstrakcyjne parametry S/F/P/A nabierają sensu dopiero wtedy, gdy przyłożysz je do konkretnego scenariusza. Poniżej pokazuję, jak wygląda fragment analizy dla typowego stanowiska z robotem przemysłowym i ręcznym załadunkiem detali.

Przykładowy scenariusz – załadunek ręczny przy robocie spawalniczym

Pełna analiza ryzyka robota przemysłowego obejmuje kilkadziesiąt takich scenariuszy dla wszystkich faz cyklu życia. Proces jest wymagający, ale to właśnie ta szczegółowość decyduje o jakości dokumentacji i realnym bezpieczeństwie stanowiska. Jeśli dopiero zaczynasz planować podobne wdrożenie, warto wcześniej zapoznać się z tym, jak wygląda analiza ryzyka robota przemysłowego – od definiowania zakresu po dobór narzędzi analitycznych.

Jak dobrać środki redukcji ryzyka dla stanowiska z robotem?

Dobór środków ochronnych powinien zawsze podążać za hierarchią z ISO 12100. Zanim sięgniesz po kurtynę świetlną lub skaner, zastanów się, czy ryzyko można wyeliminować przez przeprojektowanie – np. zmianę trajektorii ramienia tak, żeby w ogóle nie wchodziło w strefę operatora, albo przez zastosowanie automatycznego podajnika detali zamiast ręcznego załadunku. Dopiero gdy projektowanie inherentnie bezpieczne nie eliminuje zagrożenia, wchodzą w grę środki techniczne.

Przy wyborze konkretnych środków technicznych warto uwzględnić kilka kryteriów:

• Czy środek musi być aktywny przy każdym wejściu w strefę, czy tylko przy wejściu w określonym trybie pracy?
• Jaki jest wymagany PLr dla danej funkcji bezpieczeństwa – czy wybrany komponent go osiągnie?
• Czy środek jest odporny na typowe warunki środowiskowe na tym stanowisku (pył, spawalnicze iskry, wilgoć, odbicia świetlne)?
• Czy operator może w łatwy i bezpieczny sposób odblokować urządzenie po zadziałaniu zabezpieczenia?

Szczegółowe omówienie różnych kategorii środków redukcji ryzyka w robotyce – od osłon stałych po zaawansowane skanery obszarowe z wielostrefową konfiguracją – pomoże Ci podjąć tę decyzję świadomie, z uwzględnieniem wymagań normatywnych dla każdego rozwiązania.

Jakie są szczególne wymagania dla robotów kolaboracyjnych?

Roboty kolaboracyjne wymagają rozszerzenia standardowej oceny ryzyka o analizę biomechaniczną. Sam fakt, że robot ma funkcję ograniczania mocy i siły (PFL), nie oznacza automatycznie, że stanowisko jest bezpieczne – każde wdrożenie kolaboracyjne wymaga osobnej weryfikacji dla konkretnego narzędzia, detalu i procesu.

Cztery tryby pracy kolaboracyjnej i ich specyfika w ocenie ryzyka

ISO/TS 15066 (której postanowienia zostały merytorycznie włączone do ISO 10218-2:2025) definiuje cztery tryby pracy kolaboracyjnej, z których każdy wymaga innego podejścia w ocenie ryzyka:

• Safety-rated monitored stop – robot zatrzymuje się, gdy operator wchodzi do strefy; ocena ryzyka obejmuje scenariusze błędnej konfiguracji stref czujników, błędnego resetu i możliwości obejścia zabezpieczeń.
• Hand-guiding – operator prowadzi ramię ręcznie; ocenie podlegają zagrożenia związane z niekontrolowanym ruchem, utratą napędu i błędami operatora.
• Speed and separation monitoring (SSM) – robot zwalnia lub zatrzymuje się dynamicznie w zależności od odległości od operatora; najważniejsze jest wyznaczenie dynamicznej strefy separacji na podstawie prędkości robota, prędkości człowieka i łącznego czasu reakcji czujników i sterowania.
• Power and force limiting (PFL) – robot może wejść w kontakt z człowiekiem, o ile siły i naciski są poniżej dopuszczalnych limitów biomechanicznych.

Jak przeprowadzić analizę PFL?

Analiza PFL jest najczęściej pomijanym lub uproszczonym elementem oceny ryzyka dla robotów kolaboracyjnych. Poniżej opisuję, jak ją przeprowadzić poprawnie:

1. Zidentyfikuj wszystkie możliwe miejsca kontaktu człowieka z robotem, narzędziem i detale – zarówno zamierzone, jak i przypadkowe.
2. Dla każdego scenariusza kontaktu określ: możliwą prędkość w momencie kontaktu, efektywną masę ruchomą ramienia i narzędzia, twardość i geometrię powierzchni kontaktu, możliwość odsunięcia się części ciała (kontakt przelotny) lub uwięzienia (zacisk quasi-statyczny).
3. Sprawdź w tabeli ISO/TS 15066 / ISO 10218-2:2025 dopuszczalne wartości siły i nacisku dla danej strefy ciała i charakteru kontaktu – dla kontaktu quasi-statycznego (uwięziona część ciała) wartości dopuszczalne są znacznie niższe niż dla kontaktu przelotnego.
4. Zaprojektuj ograniczenia prędkości i momentów, dobierz miękkie osłony lub zmień geometrię narzędzia tak, aby najgorszy możliwy kontakt był poniżej tych limitów.
5. Przeprowadź pomiary sił i nacisków w rzeczywistych warunkach, używając certyfikowanych systemów pomiarowych, np. urządzeń pomiarowych IFA.
6. Udokumentuj wyniki pomiarów w pliku bezpieczeństwa.

Wskazówka: Ostrze narzędzia, krawędź trzymanego detalu lub wypustka chwytaka mogą powodować skoncentrowane naciski przekraczające limity z tabeli ISO/TS 15066, nawet jeśli mierzone siły są niskie. W ocenie ryzyka dla PFL zawsze uwzględniaj geometrię kontaktu – nie tylko wartości sił.

Dane biomechaniczne w ISO/TS 15066 są konserwatywne i wciąż rozwijane. Przy aktualizacji normy lub aktualizacji oprogramowania robota, które zmienia charakterystykę ograniczania mocy, ocenę ryzyka dla PFL należy przejrzeć.

Jakie są szczególne wymagania dla mobilnych robotów AGV i AMR?

Mobilne platformy przemysłowe – zarówno prowadzone po trasie AGV, jak i autonomiczne AMR – wymagają zupełnie innego podejścia do definiowania granic systemu. Zakres oceny ryzyka obejmuje cały obszar przejazdu, a nie tylko strefę wokół pojazdu.

Normą odniesienia jest tu ISO 3691-4:2023, która jako norma typu C jest zharmonizowana w UE i obejmuje pełen katalog zagrożeń dla bezzałogowych wózków przemysłowych: energię kinetyczną przy zderzeniu, utratę sterowania, utratę zasilania i hamowania, kolizje z pieszymi i innymi pojazdami.

Co musisz uwzględnić w ocenie ryzyka AMR, czego nie ma w celi stacjonarnej:

• Środowisko operacyjne – skrzyżowania ciągów pieszych, bramy, windy, stacje ładowania, martwe pola przy filarach i regałach.
• Zmienność środowiska – palety ustawione na trasie, wózki widłowe, inni pracownicy, tymczasowe przegrody.
• Współdziałanie floty – interakcje między wieloma AMR, priorytety przejazdu, kolizje planistyczne.
• Utrata łączności i błędna lokalizacja – co robi pojazd, gdy traci sygnał lub błędnie ocenia własną pozycję na mapie?
• Aktualizacje oprogramowania i map – każda zmiana mapy lub oprogramowania nawigacyjnego może wpłynąć na zachowanie pojazdu w wcześniej ocenionych scenariuszach.

Gdy robot przemysłowy jest zamontowany na mobilnej platformie, musisz równocześnie stosować ISO 10218 dla ramienia i ISO 3691-4 dla nośnika. Żadna z tych norm samodzielnie nie zapewnia pełnego domniemania zgodności dla takiego systemu hybrydowego – wymagana jest spójna, łączna ocena ryzyka obejmująca oba aspekty i środowisko pracy.

Jak cyberbezpieczeństwo wpływa na ocenę ryzyka robota?

Rozporządzenie (UE) 2023/1230 nakłada na producentów i integratorów obowiązek uwzględnienia w ocenie ryzyka zagrożeń wynikających z oprogramowania, łączności i możliwości ataku cybernetycznego. Dla robotów przemysłowych i AMR oznacza to konkretne działania, które musisz włączyć do procesu oceny ryzyka.

Kroki do przeprowadzenia w ramach analizy cyberbezpieczeństwa:

1. Zidentyfikuj zasoby krytyczne dla bezpieczeństwa fizycznego – sterownik bezpieczeństwa, czujniki ochronne, konfiguracje stref, parametry prędkości, klucze dostępu do paneli operatorskich.
2. Dla każdego zasobu określ możliwe zagrożenia cybernetyczne wpływające na bezpieczeństwo – zdalne wyłączenie funkcji bezpieczeństwa, modyfikacja granic soft-limits, wstrzyknięcie fałszywych danych z czujników do systemu SSM.
3. Oceń ryzyko każdego zagrożenia używając tych samych parametrów S/F/P/A co dla zagrożeń mechanicznych.
4. Przypisz wymagania bezpieczeństwa – uwierzytelnianie dostępu, integralność danych konfiguracyjnych, rejestrowanie zdarzeń, bezpieczna procedura aktualizacji oprogramowania.
5. Uzgodnij wymagania z normą IEC 62443 dla systemów sterowania w automatyce przemysłowej.

Gdy system zawiera funkcje samouczące się – np. adaptacyjne unikanie kolizji w AMR lub optymalizację trajektorii – ocena ryzyka musi dodatkowo obejmować: granice uczenia, po przekroczeniu których wymagana jest ponowna ocena, tryb bezpiecznego powrotu do deterministycznego zachowania bez algorytmu adaptacyjnego, a także harmonogram audytu danych treningowych i zachowań systemu.

Jak wygląda bezpieczne projektowanie celi zrobotyzowanej z perspektywy oceny ryzyka?

Ocena ryzyka i projektowanie stanowiska to procesy, które powinny przebiegać równolegle – każda decyzja projektowa wpływa na poziom ryzyka, a wyniki analizy powinny z kolei kształtować projekt. W praktyce najlepsze efekty daje iteracyjne podejście: wstępna ocena ryzyka na etapie koncepcji, aktualizacja przy projekcie szczegółowym, walidacja po fizycznym uruchomieniu.

Zasady, które realnie obniżają ryzyko już na etapie projektu:

• Projektuj trajektorie robota tak, aby w fazach ręcznej obsługi ramię znajdowało się po przeciwnej stronie stanowiska względem operatora.
• Unikaj ślepych zaułków w celi, gdzie operator może zostać uwięziony między robotem a konstrukcją.
• Planuj strefy detekcji czujników z uwzględnieniem martwych pól przy narożnikach, słupach i elementach wyposażenia.
• Dobieraj geometrię narzędzi i chwytaków tak, aby ostre krawędzie i wypustki nie były skierowane w stronę typowych pozycji operatora.
• Przewiduj możliwość rozbudowy stanowiska – zmiana layoutu po uruchomieniu jest jedną z częstszych przyczyn nieaktualnej oceny ryzyka.

Szerzej o tym, jak bezpieczne projektowanie celi zrobotyzowanej przekłada się na konkretne decyzje konstrukcyjne, piszę oddzielnie – z uwzględnieniem strefy operatora, rozmieszczenia urządzeń ochronnych i zasad sektorowania przestrzeni.

Jak udokumentować ocenę ryzyka i co musi zawierać plik bezpieczeństwa?

Kompletna dokumentacja oceny ryzyka – nazywana plikiem bezpieczeństwa (safety file) lub plikiem technicznym – to warunek konieczny do wystawienia Deklaracji Zgodności CE. Nie chodzi tylko o spełnienie wymagań formalnych: dobrze przygotowana dokumentacja pozwala też wykazać, że ryzyko zostało ocenione i zredukowane metodycznie, a nie przypadkowo.

Co musi zawierać kompletny plik bezpieczeństwa:

• Raport z oceny ryzyka – opis systemu, zdefiniowane granice, lista zadań i scenariuszy, przyjęte oceny S/F/P/A, macierz PLr/SILr dla każdej funkcji bezpieczeństwa.
• Specyfikacje funkcji bezpieczeństwa – opis każdej funkcji, jej granice i parametry, wymagany PLr/SILr, przyjęta architektura SRP/CS, wyniki obliczeń PL/SIL (np. z SISTEMA), wartości MTTFd i B10d komponentów.
• Rysunki układu bezpieczeństwa – logika sterowania bezpieczeństwem, schematy okablowania, rysunki stref czujników i stref ochronnych.
• Protokoły walidacji – zmierzone czasy zatrzymania z porównaniem do obliczeń wg ISO 13855, protokoły testów funkcji bezpieczeństwa (każda funkcja testowana osobno), wyniki pomiarów sił i nacisków dla PFL, protokoły testów pokrycia stref czujników.
• Opis ryzyk resztkowych – lista zagrożeń, których nie można było wyeliminować przez projektowanie i środki techniczne, z odpowiadającymi im środkami informacyjnymi (znaki, instrukcje, wymagania szkoleniowe, PPE).
• Deklaracje zgodności podzespołów – dokumenty dla robota (EN ISO 10218-1), urządzeń ochronnych i sterowników bezpieczeństwa.
• Deklaracja Zgodności CE dla kompletnej maszyny – wystawiona zgodnie z 2006/42/WE lub rozporządzeniem 2023/1230.

Kiedy ocenę ryzyka dla robota trzeba aktualizować?

Ocena ryzyka to dokument żywy – traci ważność za każdym razem, gdy zmienia się coś, co wpłynęło na jej wyniki. Zmiana stanowiska bez aktualizacji oceny ryzyka to jeden z najczęściej identyfikowanych czynników sprzyjających incydentom przy robotach przemysłowych.

Ocenę ryzyka musisz zaktualizować w następujących sytuacjach:

• Zmiana narzędzia lub chwytaka – inna geometria, masa i charakterystyka kontaktu.
• Zmiana detalu – inny kształt, ciężar, temperatura, właściwości powierzchni.
• Zmiana programu robota wprowadzająca nowe trajektorie lub tryby pracy.
• Zmiana layoutu stanowiska – przesunięcie urządzeń ochronnych, dodanie lub usunięcie elementów wyposażenia.
• Dodanie nowego trybu pracy lub nowej operacji w cyklu.
• Incydent lub sytuacja prawie wypadkowa (near miss) – nawet bez urazu.
• Aktualizacja oprogramowania robota zmieniająca charakterystykę hamowania lub zachowanie funkcji bezpieczeństwa.
• Zmiana przepisów lub norm, na podstawie których ocena została wykonana.
• Zmiana liczby lub rotacji pracowników obsługujących stanowisko – jeśli nowi operatorzy mają mniejsze doświadczenie, zmieniają się oceny parametru A.

Wskazówka: Ustal w zakładzie formalną procedurę zarządzania zmianami dla stanowisk zautomatyzowanych, która wymaga oceny wpływu każdej planowanej modyfikacji na dokumentację bezpieczeństwa, zanim zmiana zostanie wdrożona. Wiele incydentów przy robotach zdarza się nie w chwili uruchomienia, lecz kilka miesięcy później – po cicho wprowadzonej modyfikacji.

Jakie błędy zdarzają się najczęściej przy ocenie ryzyka robotów?

Z analiz incydentów przy robotach przemysłowych i doświadczeń z audytów stanowisk wyłania się kilka błędów, które pojawiają się regularnie. Warto je znać, zanim rozpoczniesz własną analizę.

• Analiza tylko trybu automatycznego – pomijanie faz serwisowych, usuwania zakleszczeń i uczenia robota, w których ryzyko jest zazwyczaj wyższe niż podczas normalnej pracy.
• Traktowanie kolaboracyjności jako gwarancji bezpieczeństwa – robot z funkcją PFL jest bezpieczny tylko wtedy, gdy narzędzie, detal i proces zostały ocenione pod kątem biomechaniki kontaktu. Ostry detal lub krawędź narzędzia może spowodować uraz przy siłach poniżej limitów PFL.
• Checklistowe podejście bez analizy trajektorii – zaznaczanie pozycji na liście zagrożeń bez sprawdzenia, czy i kiedy dane zagrożenie jest faktycznie dostępne dla operatora przy konkretnych ruchach robota.
• Niedoszacowanie błędów ludzkich – pominięcie scenariuszy, w których operator omija zabezpieczenia, mostkuje czujnik lub wchodzi do strefy w sposób nieprzewidziany procedurą.
• Brak aktualizacji po zmianach – ocena ryzyka wykonana raz przy uruchomieniu i nigdy nieaktualizowana, mimo kolejnych modyfikacji stanowiska.
• Obliczenia bez pomiaru – przyjęcie nominalnych czasów zatrzymania z dokumentacji robota bez weryfikacji pomiarowej w rzeczywistych warunkach eksploatacji.

Podsumowanie

Przeprowadzenie oceny ryzyka dla robota to proces wieloetapowy, który wymaga zdefiniowania granic systemu, szczegółowej identyfikacji zagrożeń dla każdej fazy cyklu życia, oszacowania ryzyka metodą S/F/P/A, doboru środków redukcji ryzyka zgodnie z hierarchią ISO 12100 oraz przypisania wymaganych poziomów PLr i SILr dla funkcji bezpieczeństwa. Proces kończy się dopiero po fizycznej walidacji i skompletowaniu pliku bezpieczeństwa. W przypadku robotów kolaboracyjnych dochodzi analiza biomechaniczna kontaktu, dla AMR – ocena całego środowiska operacyjnego, a dla systemów z AI i łącznością – aspekty cyberbezpieczeństwa wymagane przez rozporządzenie 2023/1230. Ocena ryzyka wymaga regularnej aktualizacji przy każdej zmianie stanowiska.

FAQ

Q: Czy ocenę ryzyka dla robota może wykonać sam integrator, czy musi to zrobić zewnętrzny audytor?

A: ISO 10218-2 nakłada obowiązek oceny ryzyka na integratora systemu. Nie ma wymogu, by robił to zewnętrzny audytor – ważne, żeby osoba przeprowadzająca ocenę miała kompetencje z zakresu norm bezpieczeństwa i znała specyfikę wdrażanego procesu.

Q: Czy ocena ryzyka jest wymagana dla używanego robota kupionego z drugiej ręki?

A: Tak. Każda integracja używanego robota w nowe stanowisko lub nowe środowisko traktowana jest jak nowa maszyna złożona. Wymaga kompletnej oceny ryzyka dla całego systemu zgodnie z ISO 10218-2 i wystawienia nowej Deklaracji Zgodności.

Q: Jak długo powinna trwać ocena ryzyka dla typowej celi robotycznej?

A: Czas zależy od złożoności systemu. Prosta cela z jednym robotem i stałą operacją może wymagać kilku dni pracy. Złożony system wielorobotowy z trybami kolaboracyjnymi i ręczną obsługą – kilku tygodni, wliczając obliczenia PL, walidację i pomiary.

Q: Czy oprogramowanie do obliczeń SISTEMA jest wystarczające do weryfikacji PLr?

A: SISTEMA to narzędzie obliczeniowe do weryfikacji osiągniętego PL na podstawie architektury i danych komponentów. Samo w sobie nie zastępuje analizy ryzyka – służy do weryfikacji projektowej po przypisaniu PLr. Wymaga poprawnych danych wejściowych, w tym wartości MTTFd i B10d od producentów komponentów.

Q: Co zrobić, gdy nie ma danych MTTFd dla konkretnego komponentu bezpieczeństwa?

A: ISO 13849-1 przewiduje wartości domyślne dla komponentów, dla których brakuje danych producenta – np. MTTFd = 10 lat. To podejście konserwatywne, które może ograniczyć osiągalny PL. W miarę możliwości warto zwrócić się do producenta o dane z kart bezpieczeństwa produktu lub z raportów FMEA.

Weryfikacja i redakcja

Za redakcję i weryfikację artykułu odpowiadają:

Joanna Lewandowska. Specjalistka ds. automatyki i integracji. Absolwentka kierunku Automatyka i Robotyka na Akademii Górniczo-Hutniczej im. Stanisława Staszica w Krakowie.

Piotr Woźniak. Doświadczony redaktor technologiczny. Absolwent kierunku Dziennikarstwo i Komunikacja Społeczna na Uniwersytecie Warszawskim.