Jak poprawić bezpieczeństwo celi zrobotyzowanej? Poradnik

Bezpieczeństwo celi zrobotyzowanej to temat, który wykracza daleko poza postawienie płotu i zamontowanie wyłącznika awaryjnego. Każda cela to złożona aplikacja – z robotem, chwytakiem, podajnikami, oprzyrządowaniem i oprogramowaniem – a każdy z tych elementów może stać się źródłem zagrożenia. Ten artykuł jest skierowany do inżynierów automatyków, integratorów systemów i specjalistów BHP odpowiedzialnych za projektowanie lub modernizację stanowisk zrobotyzowanych. Znajdziesz tu konkretne działania oparte na normach ISO 10218-2, ISO 12100 i ISO 13849-1, które realnie podnoszą poziom ochrony operatorów i personelu technicznego.

Najważniejsze informacje z tego artykułu:

• Ocena ryzyka według ISO 12100 musi obejmować wszystkie tryby pracy celi – automatyczny, ręczny, serwisowy i przezbrojenie.
• Odległości bezpieczeństwa od kurtyn i skanerów oblicza się ze wzoru S = K·T + C, a czas hamowania T należy zmierzyć fizycznie, a nie czerpać wyłącznie z katalogu producenta.
• Tryby współpracy człowiek-robot – SRMS, SSM i PFL – wymagają certyfikowanej sensoryki i weryfikacji sił kontaktu, nie wystarczą fabryczne ustawienia cobota.
• Procedury LOTO powinny obejmować wszystkie źródła energii: elektryczną, pneumatyczną, hydrauliczną i grawitacyjną.
• Każda zmiana w celi – nowe narzędzie, inny detal, zmiana layoutu – wymaga aktualizacji oceny ryzyka i przeglądu funkcji bezpieczeństwa.

Jak poprawić bezpieczeństwo celi zrobotyzowanej – od czego zacząć?

Punktem wyjścia jest zawsze ocena ryzyka. Nie lista kontrolna, nie ogólny audyt, lecz pełny cykl analityczny zgodny z ISO 12100 – identyfikacja zagrożeń, szacowanie ryzyka, ocena i redukcja. ISO 10218-2 wprost nakłada na integratora obowiązek udokumentowania takiej analizy jako fundamentu całej architektury bezpieczeństwa. Bez tego dokumentu nie ma mowy o celowym i trwałym poprawieniu bezpieczeństwa stanowiska.

Celę zrobotyzowaną traktuj jako kompletną aplikację – w rozumieniu ISO 10218-2:2025 oznacza to, że analizie podlegają nie tylko ruchy robota, ale też chwytak, detal, podajniki, oprzyrządowanie, sterowniki i oprogramowanie. Każdy tryb pracy wymaga osobnej analizy zagrożeń: tryb automatyczny wygląda zupełnie inaczej niż tryb serwisowy, podczas którego operator wchodzi do strefy z aktywnym zasilaniem.

Jeśli chcesz wiedzieć, gdzie najszybciej znaleźć luki w istniejącej celi, pomocny będzie audyt bezpieczeństwa stanowiska zrobotyzowanego – systematyczna weryfikacja stanu rzeczywistego względem wymagań norm.

Hierarchia środków redukcji ryzyka

ISO 12100 i ISO 10218-2 określają kolejność działań. Nie wolno jej odwracać:

1. Redukcja przez projekt – ograniczenie zakresu ruchu osi, zmniejszenie prędkości i momentów, zaokrąglanie krawędzi chwytaka, eliminacja ostrych elementów w obszarach możliwego kontaktu z człowiekiem.
2. Środki techniczne – osłony stałe i ryglowane, kurtyny świetlne, skanery bezpieczeństwa, maty naciskowe, wyłączniki awaryjne.
3. Środki organizacyjne – procedury pracy, szkolenia, instrukcje, oznakowanie.

Środki organizacyjne są skuteczne wyłącznie jako uzupełnienie środków technicznych, nigdy jako ich zamiennik. Badania wskazują, że zachowanie pracowników odpowiada za połowę wypadków przy pracy – dlatego projekt techniczny musi maksymalnie ograniczać sytuacje, w których od właściwego zachowania człowieka zależy bezpieczeństwo.

Wskazówka: Zanim zaczniesz modernizować celę, sporządź pełną listę trybów pracy i dla każdego z nich wypisz osobno wszystkie osoby, które mogą znaleźć się w obszarze zagrożenia – nie tylko operatora przy panelu, ale też ustawiacza, konserwatora, osobę usuwającą zacięcie detalu.

Jak zaprojektować strefy bezpieczeństwa w celi zrobotyzowanej?

ISO 10218-2 wymaga zdefiniowania dwóch przestrzeni. Przestrzeń chroniona (safeguarded space) to obszar otoczony fizyczną barierą i/lub urządzeniami elektroczułymi. Przestrzeń ograniczona (restricted space) to obszar, poza który robot nie może wyjść – nawet przy błędzie sterowania – dzięki sprzętowym ograniczeniom zakresów osi i strefomu monitorowaniu TCP w kontrolerze (safe zone, safe position).

Oba rodzaje przestrzeni muszą być ze sobą skoordynowane. Robot powinien zostać zatrzymany przez kontroler zanim dotrze do granicy przestrzeni chronionej – to eliminuje scenariusz, w którym mechaniczna awaria powoduje wyjście robota poza wygrodzenie.

Jak obliczyć odległość bezpieczeństwa od kurtyny lub skanera?

Norma EN ISO 13855 definiuje wzór na minimalną odległość S, w jakiej należy ustawić urządzenie ochronne od strefy niebezpiecznej:

S = K · T + C

gdzie:

• K – prędkość zbliżania części ciała człowieka (dla kurtyn pionowych: 2000 mm/s dla ruchu ręki).
• T – całkowity czas reakcji systemu, obejmujący: czas odpowiedzi urządzenia, czas reakcji przekaźnika lub sterownika bezpieczeństwa oraz rzeczywistą drogę hamowania robota.
• C – stała zależna od rozdzielczości urządzenia (głębokość wniknięcia dłoni przed detekcją).

Najczęstszy błąd w tym miejscu to użycie katalogowego czasu hamowania robota zamiast zmierzonego. Rzeczywista droga hamowania przy maksymalnej prędkości i pełnym obciążeniu (robot + chwytak + detal) bywa o 20–40% dłuższa niż dane z dokumentacji. Pomiar należy wykonać przy najgorszym scenariuszu, czyli przy pełnym ładunku i maksymalnej prędkości programowej.

Trzeba też uwzględnić parametr Cro, czyli zasięg sięgania nad urządzeniem ochronnym. Jeśli kurtyna jest za nisko lub ma nieodpowiedni zasięg boczny, operator może dosięgnąć do strefy niebezpiecznej bez przerwania wiązki – i żaden alarm nie zadziała.

Wymagania dotyczące poziomu nienaruszalności bezpieczeństwa (PL/SIL)

Wszystkie funkcje bezpieczeństwa celi – wyłącznik awaryjny E-stop, zatrzymanie ochronne, monitorowanie prędkości, monitorowanie pozycji, nadzorowanie blokad bramek – powinny spełniać co najmniej PL d / SIL 2 zgodnie z ISO 13849-1:2023 lub IEC 62061:2021. Dla typowych obwodów robotycznych wymagana jest architektura kategorii 3 lub 4 (dwukanałowa z diagnostyką). Obliczenie PL wymaga danych MTTFd i DC – nie można przyjąć poziomu PL d bez udokumentowanych obliczeń.

Wskazówka: Przed doborem komponentów bezpieczeństwa (przekaźniki, sterowniki safety PLC, skanery, kurtyny) zweryfikuj, czy producent podaje dane MTTFd, DC i kategorię architektury – bez tych informacji obliczenia PL/SIL są niemożliwe do wykonania.

Jakie zabezpieczenia techniczne zastosować w celi zrobotyzowanej?

Dobór urządzeń ochronnych zależy bezpośrednio od wyników oceny ryzyka i sposobu, w jaki operator uzyskuje dostęp do celi. Poniżej zestawiam typowe rozwiązania z kontekstem ich zastosowania:

Sama lista urządzeń to za mało. Każde z nich wymaga weryfikacji pokrycia strefy – upewnij się, że nie ma martwych pól, czyli obszarów, przez które można wedrzeć się do celi bez wywołania zatrzymania. Błędy bezpieczeństwa w robotyce bardzo często wynikają właśnie z takich przeoczonych martwych pól w konfiguracji stref detekcji.

Jak bezpiecznie zarządzać trybami współpracy człowiek-robot?

Jeśli cela ma działać w trybie współpracy z operatorem – np. przy ręcznym załadunku detalu lub wspólnym montażu – ISO 10218-2:2025 i ISO/TS 15066 definiują cztery dopuszczalne tryby. Każdy z nich stawia inne wymagania techniczne.

• SRMS (Safety-Rated Monitored Stop) – robot zatrzymuje się i pozostaje nieruchomy, gdy operator wchodzi do strefy, przy zachowanym zasilaniu napędów; wymaga certyfikowanego nadzoru stanu postoju i świadomego restartu przez operatora.
• SSM (Speed and Separation Monitoring) – robot dostosowuje prędkość w czasie rzeczywistym do odległości od człowieka; wymaga certyfikowanych sensorów bezpieczeństwa i algorytmów liczących minimalny dystans ochronny.
• PFL (Power and Force Limiting) – robot ogranicza siłę i moment do wartości biomechanicznie dopuszczalnych; wymaga pomiaru sił kontaktu w konkretnej aplikacji, a nie polegania wyłącznie na fabrycznych limitach cobota.
• Hand-guiding – ręczne prowadzenie robota przez operatora przy minimalnej prędkości; wymaga trójpozycyjnego urządzenia zezwolenia i ograniczenia prędkości przez safety-rated funkcję kontrolera.

Tryby można łączyć w jednej celi. Dobrym przykładem jest zastosowanie SSM przy wejściu operatora do strefy oraz PFL przy ręcznym sięganiu do narzędzia – ten układ zwiększa wydajność, bo robot nie musi całkowicie zatrzymywać się przy każdej obecności człowieka.

Dla trybu PFL każda aplikacja wymaga fizycznego pomiaru sił kontaktu miernikiem dynamometrycznym. Wartości graniczne sił i nacisków dla poszczególnych części ciała człowieka określają tabele biomechaniczne z ISO/TS 15066 (przeniesione do ISO 10218-2). Różnią się one w zależności od tego, czy kontakt jest quasi-statyczny czy dynamiczny, i dotyczą konkretnych obszarów ciała.

Zaawansowana sensoryka dla trybu SSM

Dynamiczne monitorowanie separacji człowiek-robot wymaga czujników zaklasyfikowanych jako safety-rated. Dominujące technologie to:

• Skanery LiDAR – szybka detekcja 2D lub 3D, dobra precyzja w stałych warunkach oświetlenia.
• Kamery głębi i kamery stereo – obraz 3D przestrzeni, możliwość rozpoznawania pozy człowieka.
• Radary – odporne na kurz, pary i złe oświetlenie.
• Czujniki pojemnościowe i rezystywne skóry sensoryczne – montowane bezpośrednio na robocie, wykrywają zbliżenie lub kontakt.

Połączenie kilku typów sensorów w jednym systemie (fuzja danych) pozwala kompensować słabości pojedynczych technologii i dynamicznie wyznaczać dystans ochronny. Systemy oparte wyłącznie na zwykłym wideo bez certyfikacji safety mogą pełnić funkcję pomocniczego nadzoru i analizy zakłóceń, ale nie zastępują certyfikowanych kanałów bezpieczeństwa.

Jak kontrolować energię niebezpieczną – LOTO i środki alternatywne?

Cela zrobotyzowana ma wiele źródeł energii: elektryczną (napędy, sterowniki), pneumatyczną (chwytak, podajniki), hydrauliczną, grawitacyjną (robot zawieszony nad głową lub trzymający ciężki detal) oraz potencjalną w sprężynach i przewodach pod ciśnieniem. Wyłączenie jednego wyłącznika głównego nie izoluje ich wszystkich.

Formalny program LOTO (Lockout/Tagout) zgodny z OSHA 1910.147 i ANSI/ASSP Z244.1 powinien obejmować:

• Procedurę dla każdego źródła energii osobno – z przypisanym punktem odcięcia i metodą blokady.
• Weryfikację stanu zerowej energii przed wejściem do strefy (próba uruchomienia, pomiar ciśnienia, kontrola grawitacyjna).
• Indywidualne kłódki dla każdej osoby pracującej w strefie – jedna kłódka, jeden pracownik.

Analizy raportów OSHA pokazują wyraźny wzorzec: duża część wypadków przy robotach stacjonarnych ma miejsce podczas instalacji, regulacji, usuwania zakleszczeń i testów – a więc dokładnie wtedy, gdy standardowe osłony są wyłączone lub otwarte.

Kiedy LOTO nie wystarczy – alternatywne środki ochronne (APM)

Są zadania, których nie da się wykonać przy pełnym LOTO – np. nauczanie trajektorii (teach-in), strojenie parametrów ruchu czy diagnostyka czujników z ręczną obserwacją robota w ruchu. W takich przypadkach stosuje się Alternative Protective Measures (APM), które muszą być oparte na analizie ryzyka i walidacji.

Typowe elementy APM dla tych zadań:

• Trójpozycyjny wyłącznik zezwolenia – tzw. deadman switch; puszczenie lub mocne ściśnięcie powoduje natychmiastowe zatrzymanie.
• Bezpieczna prędkość ograniczona – funkcja kontrolera monitorowana przez safety-rated enkodery, np. 250 mm/s TCP wg ISO 10218-1.
• STO (Safe Torque Off) – odcięcie momentu napędowego bez fizycznego odłączenia zasilania.
• System kluczy uwięzionych – zapewnia, że robot nie może wznowić automatycznego cyklu, gdy klucz jest przy operatorze.

APM wymagają formalnej walidacji – testu potwierdzającego, że przy każdym możliwym błędzie (np. zwarcie w kanale, utrata sygnału czujnika) system przechodzi w stan bezpieczny. Nie wystarczy sprawdzenie, że funkcja działa poprawnie – trzeba sprawdzić, co się stanie, gdy zawiedzie.

Jak przeprowadzić walidację funkcji bezpieczeństwa celi?

Walidacja to potwierdzenie, że cela faktycznie działa tak, jak wynika z analizy ryzyka i dokumentacji. ISO 10218-2 wymaga jej przed uruchomieniem produkcji. Punktem wyjścia jest Safety Requirements Specification (SRS) – dokument opisujący wszystkie funkcje bezpieczeństwa, ich poziomy PL/SIL, czasy reakcji, stany bezpieczne i warunki resetowania. Jeśli SRS nie istnieje, nie ma z czym porównywać wyników testów.

Zakres walidacji obejmuje:

• Pomiar rzeczywistych dróg hamowania przy maksymalnym obciążeniu i prędkości – porównanie z wartościami użytymi do obliczeń S wg ISO 13855.
• Test pokrycia stref detekcji – weryfikacja braku martwych pól dla każdego scenariusza wejścia operatora.
• Test każdej blokady, każdego resetu i każdej funkcji monitorowania prędkości lub pozycji.
• Pomiar sił kontaktu dla aplikacji PFL.
• Sprawdzenie zachowania systemu przy symulowanych uszkodzeniach (odłączenie kanału, utrata sygnału czujnika, przerwa w obwodzie).

Przydatna przy tym bywa lista kontrolna audytu bezpieczeństwa robota, która pozwala systematycznie przejść przez wszystkie obszary wymagające weryfikacji.

Wskazówka: Nie traktuj walidacji jako jednorazowego odbioru. Zaplanuj testy okresowe – co najmniej roczne – dla wszystkich funkcji bezpieczeństwa, a ich częstotliwość dostosuj do czasu misji komponentów (parametr PFHd). Wydłużająca się droga hamowania albo dryft czujnika to sygnały, że PL/SIL rzeczywisty spada poniżej wymaganego, zanim cokolwiek się zepsuje w klasycznym sensie.

Jak cyfrowy bliźniak pomaga w projektowaniu bezpiecznej celi?

Cyfrowy bliźniak celi zrobotyzowanej to wirtualny model, w którym można testować scenariusze zanim fizyczna cela w ogóle powstanie. Na etapie projektu pozwala to zweryfikować zasięgi robota, wykryć kolizje z infrastrukturą i sprawdzić, czy konfiguracja stref detekcji nie tworzy martwych pól przy różnych wzorcach ruchu operatora lub AGV.

Virtual commissioning, czyli wirtualne uruchomienie, umożliwia załadowanie rzeczywistego programu sterownika safety PLC do modelu symulacyjnego i przetestowanie logiki bezpieczeństwa bez ryzyka. Błędy w sekwencjach blokad, resetów czy warunków startu wykryte w symulacji nie powodują wypadków – wykryte na fizycznej celi mogą.

Po uruchomieniu produkcji monitoring online – logi prędkości, czasy hamowania, zdarzenia naruszenia stref – dostarcza danych do predykcyjnej analizy bezpieczeństwa. Stopniowe wydłużanie się czasu hamowania robota można zauważyć z tygodniowym wyprzedzeniem przed tym, gdy obliczony PL rzeczywiście spadnie poniżej wymaganego poziomu.

Jak szkolić operatorów i personel techniczny?

Szkolenia nie są substytutem dobrego projektu, ale są jego niezbędnym uzupełnieniem. Połowa wypadków przy pracy wynika z zachowania pracowników – nie dlatego, że ludzie działają nieostrożnie z natury, lecz dlatego, że projekt stanowiska wymusza na nich zachowania ryzykowne. Dobry projekt minimalizuje te sytuacje, ale nie eliminuje ich całkowicie.

Szkolenia powinny być zróżnicowane w zależności od roli:

• Operatorzy produkcyjni – obsługa panelu, sekwencja restartu po zatrzymaniu, zasady zakazu wchodzenia do strefy przy aktywnym cyklu, postępowanie przy alarmie i przy zacięciu detalu.
• Ustawiacze i technicy procesu – tryby manualne, korzystanie z wyłącznika zezwolenia, ograniczenia prędkości w trybie teach, procedury przezbrojenia.
• Utrzymanie ruchu i serwis – pełny program LOTO, procedury APM, weryfikacja po naprawie, zasady zmian w programie robota i ich wpływ na bezpieczeństwo.

Szkolenie powinno zawierać element praktyczny – przejście przez procedurę LOTO na rzeczywistej maszynie, obsługę sytuacji awaryjnej w trybie symulowanym, demonstrację zachowania systemu przy otwartej bramce lub naruszeniu kurtyny. Sama prezentacja slajdów nie wystarczy.

Jeśli cela była modyfikowana lub miała miejsce poważna awaria, warto przeprowadzić analizę zdarzenia z udziałem robota i wyniki włączyć w kolejne szkolenie – to jeden z najskuteczniejszych sposobów na trwałe zmianę zachowań.

Co sprawdzić w istniejącej celi – najczęstsze zagrożenia

Jeśli cela już działa, modernizacja bezpieczeństwa robotów przemysłowych zaczyna się od dokładnej diagnozy stanu aktualnego. Najczęstsze problemy, które identyfikuję podczas weryfikacji działających cel, to:

• Brak udokumentowanej oceny ryzyka – cela działa, ale nie wiadomo, na jakiej podstawie dobrano zabezpieczenia.
• Odległości bezpieczeństwa liczone szacunkowo – kurtyny ustawione „z zapasem” zamiast wg S = K·T + C z rzeczywistym T.
• Brak blokady trybu serwisowego – technik może wejść do celi bez wymuszonego zatrzymania robota.
• Nieprawidłowy reset po zatrzymaniu ochronnym – robot wznawia cykl natychmiast po zniknięciu przeszkody, bez świadomego potwierdzenia przez operatora.
• Martwe pola w strefach detekcji – można wejść do strefy niebezpiecznej bez naruszenia żadnego urządzenia ochronnego.
• Brak procedur LOTO – energia niebezpieczna nie jest formalizowana ani opisana.
• Nieskalibrowane lub przestarzałe urządzenia bezpieczeństwa – skanery i kurtyny bez aktualnych testów, z nieznaną rzeczywistą charakterystyką.

Wypadki przy robotach stacjonarnych mają powtarzające się wzorce: nieoczekiwane uruchomienie robota, błędy sygnałów i sensorów, brak świadomości aktualnego stanu maszyny przez operatora. Każdy z tych scenariuszy da się przewidzieć i wyeliminować na etapie projektu lub modernizacji.

Jak zarządzać bezpieczeństwem po każdej modyfikacji celi?

Każda zmiana w celi – nowe narzędzie, inny typ lub rozmiar detalu, zmiana programu, dodanie AGV, przebudowa layoutu – to de facto nowa aplikacja wymagająca aktualizacji oceny ryzyka. ISO 10218-2 i przewodniki do ISO 12100 podkreślają to jednoznacznie: zmiana parametrów pracy może zmienić drogi hamowania, zasięgi, siły kontaktu i logikę blokad.

Po każdej modyfikacji należy przejść przez skrócony, ale formalny cykl:

1. Identyfikacja zmian i ich potencjalnego wpływu na zagrożenia.
2. Aktualizacja oceny ryzyka dla zmienionego zakresu.
3. Weryfikacja i ewentualna aktualizacja obliczeń PL/SIL, odległości bezpieczeństwa, logiki sterownika.
4. Powtórna walidacja zmienionych funkcji bezpieczeństwa.
5. Aktualizacja dokumentacji i – jeśli zmiana dotyczy procedur – ponowne szkolenie personelu.

Dokumentacja to nie formalność. Bez aktualnej dokumentacji każdy kolejny inżynier lub audytor jest zmuszony zaczynać analizę od zera – i może nie odkryć wszystkich konsekwencji wcześniejszych zmian.

Podsumowanie

Poprawa bezpieczeństwa celi zrobotyzowanej to proces oparty na dokumentowanych decyzjach – nie na intuicji ani na tym, co wyglądało wystarczająco dobrze podczas odbioru. Solidna ocena ryzyka wg ISO 12100, prawidłowo obliczone i zmierzone odległości bezpieczeństwa, dobór urządzeń z weryfikowanym PL d / SIL 2, właściwe procedury LOTO i APM oraz systematyczna walidacja tworzą architekturę, która realnie chroni operatorów. Każda modyfikacja celi wymaga powrotu do analizy ryzyka – to nie jest opcjonalny krok, lecz wymóg normatywny i warunek utrzymania bezpieczeństwa w całym cyklu życia stanowiska.

FAQ

Q: Czy coboty są z definicji bezpieczniejsze od robotów przemysłowych i nie wymagają osłon?

A: Coboty mają wbudowane funkcje ograniczania siły, ale nie zwalnia to z oceny ryzyka. W wielu aplikacjach – zwłaszcza z ostrymi narzędziami lub dużym ładunkiem – konieczne są dodatkowe osłony i urządzenia ochronne.

Q: Kto odpowiada za bezpieczeństwo celi – producent robota czy integrator?

A: Za bezpieczeństwo kompletnej aplikacji odpowiada integrator systemu. Producent robota odpowiada za samego robota jako maszynę częściową; integrator tworzy z niego celę i ponosi odpowiedzialność za całość.

Q: Jak często należy przeprowadzać testy wyłączników awaryjnych i innych funkcji bezpieczeństwa?

A: Częstotliwość testów powinna wynikać z analizy ryzyka i parametru PFHd komponentów. Typową praktyką są testy roczne, jednak przy intensywnej eksploatacji lub starszych komponentach warto skrócić ten interwał.

Q: Czy zmiana programu robota bez zmiany sprzętu wymaga aktualizacji oceny ryzyka?

A: Tak, jeśli zmiana programu wpływa na prędkości, trajektorie, zasięgi lub sekwencje pracy. Nowa trajektoria może zmienić rzeczywistą drogę hamowania albo wprowadzić ruch w obszarze wcześniej nieaktywnym.

Q: Co zrobić, gdy kurtyna świetlna jest regularnie omijana przez operatorów przy załadunku detalu?

A: To sygnał błędu projektowego – stanowisko zmusza operatora do omijania zabezpieczenia w celu wykonania rutynowej czynności. Rozwiązaniem jest przeprojektowanie layoutu lub zmiana urządzenia ochronnego, nie zaostrzanie procedur.

Weryfikacja i redakcja

Za redakcję i weryfikację artykułu odpowiadają:

Joanna Lewandowska. Specjalistka ds. automatyki i integracji. Absolwentka kierunku Automatyka i Robotyka na Akademii Górniczo-Hutniczej im. Stanisława Staszica w Krakowie.

Piotr Woźniak. Doświadczony redaktor technologiczny. Absolwent kierunku Dziennikarstwo i Komunikacja Społeczna na Uniwersytecie Warszawskim.