Najczęstsze błędy bezpieczeństwa w robotyce: ryzyka i BHP

Bezpieczeństwo w robotyce to temat, który na hali produkcyjnej bywa traktowany zbyt powierzchownie – a konsekwencje tego podejścia bywają poważne. Błędy nie wynikają zazwyczaj z nieznajomości podstaw BHP, lecz z nieprawidłowego przełożenia złożonych wymagań normatywnych na konkretne decyzje projektowe i eksploatacyjne. Ten artykuł skierowany jest do inżynierów, integratorów i osób odpowiedzialnych za wdrożenia zrobotyzowane. Jeśli chcesz wiedzieć, gdzie naprawdę kryją się luki w systemach bezpieczeństwa robotów i jak im zapobiegać, ten tekst da ci konkretne odpowiedzi.

Najważniejsze informacje z tego artykułu:

• Ponad 70–80% wypadków przy robotach przemysłowych wynika z błędów organizacyjnych, takich jak obejście zabezpieczeń czy brak procedur LOTO.
• Ocena ryzyka zgodna z ISO 12100 musi obejmować pełny cykl życia stanowiska, a nie tylko moment uruchomienia.
• Samo zastosowanie cobota nie gwarantuje spełnienia wymagań aplikacji współpracującej – decyduje specyfika całego procesu.
• Zmiana narzędzia, detalu lub układu stanowiska wymaga aktualizacji oceny ryzyka i ponownej walidacji parametrów bezpieczeństwa.
• Cyberbezpieczeństwo systemów sterowania robotów jest wymaganiem normatywnym w ISO 10218-2:2025, a nie opcjonalnym dodatkiem.

Jakie są najczęstsze błędy bezpieczeństwa w robotyce?

Analizy wypadków przy robotach przemysłowych – prowadzone m.in. przez instytucje odpowiadające funkcjonalnie OSHA – pokazują, że ponad 70–80% zdarzeń wynika z błędów organizacyjnych i naruszeń procedur, a nie z usterek mechanicznych czy elektronicznych. Najczęściej powtarzające się scenariusze to: niezamierzone uruchomienie robota podczas serwisu, wejście do strefy roboczej przy wyłączonych osłonach oraz kolizje spowodowane błędnie ustawionymi ograniczeniami osi. Normy ISO 10218-1 i ISO 10218-2 powstały m.in. jako odpowiedź na te właśnie wzorce wypadkowe.

Błędy bezpieczeństwa w robotyce można podzielić na cztery główne kategorie:

• Błędy projektowe – brak kompleksowej analizy ryzyka dla całej celi, źle dobrane lub źle rozmieszczone urządzenia ochronne, brak nadzoru nad serwisowymi punktami dostępu.
• Błędy organizacyjne – nieprzestrzeganie procedur LOTO (lockout-tagout, czyli blokowanie i oznaczanie źródeł energii przed pracami serwisowymi), niewystarczające szkolenia operatorów, brak formalnego nadzoru nad zmianami konfiguracji robota.
• Błędy eksploatacyjne – wyłączanie lub mostkowanie elementów bezpieczeństwa w celu przyspieszenia pracy, opóźnione przeglądy i testy układów ochronnych, brak dokumentacji wprowadzanych zmian.
• Błędy cyberbezpieczeństwa – pozostawienie fabrycznych konfiguracji portów, brak segmentacji sieci produkcyjnej, brak uwierzytelniania w protokołach sterowania.

W audytach bezpieczeństwa instalacji zrobotyzowanych regularnie pojawia się jeszcze jeden wzorzec: projektowanie po kawałku, czyli brak zintegrowanego podejścia do analizy ryzyka całego stanowiska. Skutkiem są niekompatybilne środki ochronne i luki w systemie – np. brak maty naciskowej przy serwisowym wejściu do celi albo przycisk zatrzymania awaryjnego umieszczony poza zasięgiem operatora. Dane z badań technicznych wskazują ponadto, że w ponad 30% przeanalizowanych instalacji przeglądy układów bezpieczeństwa były opóźnione lub w ogóle niewykonane.

Wskazówka: Dokumentację oceny ryzyka traktuj jak żywy dokument, nie jak jednorazowy formularz do odbioru CE. Każda zmiana programu, narzędzia, layoutu lub sposobu pracy przy stanowisku wymaga jej aktualizacji zgodnie z ISO 10218-2.

Dlaczego podejście do analizy ryzyka bywa strukturalnie wadliwe?

Norma PN-EN ISO 12100:2012 opisuje ocenę ryzyka jako iteracyjną pętlę: zdefiniowanie granic systemu, identyfikacja zagrożeń, oszacowanie i ocena ryzyka, redukcja ryzyka (najpierw przez projektowanie, potem przez techniczne środki ochronne, na końcu przez informację), walidacja, a następnie stała weryfikacja w eksploatacji. Tymczasem wiele wdrożeń sprowadza ten proces do wypełnienia tabeli – zaznaczenia poziomu ryzyka i wpisania środka ochronnego – bez rzeczywistego iteracyjnego przeglądu zagrożeń.

Częstym błędem jest też zawężanie zakresu oceny wyłącznie do normalnego trybu pracy robota. ISO 12100 wymaga analizy wszystkich faz cyklu życia:

• Instalacja i uruchamianie.
• Programowanie i tryb ustawiania (setup).
• Serwis i naprawy.
• Awarie i stany nieplanowane.
• Rekonfiguracje i modyfikacje layoutu.

Osobną kwestią jest ignorowanie tzw. foreseeable misuse, czyli racjonalnie przewidywalnego niewłaściwego użycia. Operatorzy pod presją czasu skracają ścieżki, wchodzą do stref przy podniesionej blokadzie, używają trybu manualnego niezgodnie z przeznaczeniem. ISO 12100 explicite wymaga uwzględnienia takich zachowań w analizie zagrożeń. Jeśli projekt ich nie przewiduje, system bezpieczeństwa ma realną lukę – niezależnie od tego, co mówi dokumentacja.

Ocena ryzyka przestaje być aktualna w momencie, gdy zmienia się cokolwiek: program ruchu, narzędzie, sposób załadunku detali, pozycja operatora względem celi. ISO 10218-2 i przewodniki wdrożeniowe wprost wymagają aktualizacji dokumentacji po takich zdarzeniach. Traktowanie oceny jako jednorazowego formalności to jeden z najpoważniejszych błędów, z którymi spotykam się przy audytach istniejących instalacji. Jak przeprowadzić taki przegląd – opisuję szczegółowo omawiając audyt bezpieczeństwa stanowiska zrobotyzowanego.

Jak błędy w doborze i pozycjonowaniu środków ochronnych zagrażają operatorom?

Kurtyna świetlna ustawiona za blisko robota nie spełni swojej funkcji, jeśli czas reakcji systemu bezpieczeństwa i droga hamowania mechanicznego razem przekraczają odległość między kurtyna a strefą niebezpieczną. Obliczenia bezpiecznej odległości muszą opierać się na zmierzonych wartościach, nie na szacunkach z katalogu producenta. EN ISO 13855 opisuje metodykę wyznaczania minimalnej odległości montażu środków ochronnych w zależności od prędkości zbliżania i rzeczywistej drogi zatrzymania robota.

Poniżej zestawiam najczęstsze błędy związane z pozycjonowaniem i doborem urządzeń ochronnych:

• Jeden poziom bezpiecznej odległości dla wszystkich trybów pracy – odległość powinna być różnicowana w zależności od prędkości robota, trybu (automatyczny, setup, hand-guiding) i spodziewanej pozycji operatora.
• Martwe strefy skanerów obszarowych – niewystarczające pokrycie kątem widzenia, szczególnie przy górnych wejściach do celi lub przy przejściach serwisowych.
• Brak warstwowania stref ochronnych – w aplikacjach spawalniczych i innych wysokiego ryzyka zaleca się co najmniej dwie strefy: zewnętrzną strefę ochronną inicjującą zatrzymanie i wewnętrzną wymagającą pełnej blokady energii (LOTO).
• Brak mat naciskowych lub kurtyn przy serwisowych wejściach – drzwi serwisowe często są nadzorowane wyłącznie ryglami, bez dodatkowego potwierdzenia stanu.

Wskazówka: Przed odbiorem stanowiska fizycznie zmierz czas reakcji całego łańcucha bezpieczeństwa – od naruszenia kurtyny do pełnego zatrzymania robota – i porównaj wynik z przyjętą w projekcie bezpieczną odległością według EN ISO 13855. Rozbieżności sięgające kilkudziesięciu milisekund przekładają się na dziesiątki centymetrów różnicy w wymaganym dystansie.

Jakie błędy popełnia się przy projektowaniu funkcji bezpieczeństwa sterowania?

Jednym z bardziej ukrytych problemów jest przyjmowanie poziomu Performance Level d (PL d) jako domyślnego dla wszystkich funkcji bezpieczeństwa. To podejście nie wynika z analizy ryzyka, lecz z przyzwyczajenia. Zrewidowana ISO 10218-2:2025 odchodzi od sztywnego przypisywania PL d i wymaga, aby wymagany poziom niezawodności funkcji (PLr lub SILr według EN ISO 13849-1 lub IEC 62061) był każdorazowo wyznaczany na podstawie oceny konkretnego zagrożenia.

Oprócz doboru poziomów, poważnym problemem jest niepełne wykorzystanie wbudowanych funkcji bezpieczeństwa robotów. Nowoczesne kontrolery oferują m.in.:

• SLS (Safety Limited Speed) – nadzorowanie prędkości robota w czasie rzeczywistym, szczególnie podczas trybu setup.
• SLP (Safety Limited Position) – ograniczanie obszaru ruchu do zdefiniowanych stref, bez konieczności stosowania fizycznych zderzaków.
• SS1/SS2 (Safety Stop 1 i 2) – sterowane zatrzymanie z kontrolowanym hamowaniem, zamiast natychmiastowego odcięcia napędu.

ISO 10218 wskazuje te funkcje jako elementy integracji stanowiska, zwłaszcza w aplikacjach współpracujących. Tymczasem w wielu instalacjach są one albo nieaktywowane, albo skonfigurowane z parametrami fabrycznymi, które nie odpowiadają specyfice danego zastosowania.

Do tego dochodzi brak formalnej walidacji przy odbiorze systemu: niezmierzone czasy reakcji, niesprawdzone wszystkie tory wyłącznika awaryjnego, brak testów scenariuszy awaryjnych w sterowniku bezpieczeństwa (safety PLC). ISO 10218-2 wymaga funkcjonalnego sprawdzenia wszystkich funkcji bezpieczeństwa przy uruchomieniu. Równie ważny jest harmonogram testów okresowych – wytyczne praktyczne zalecają co najmniej coroczne testy E-stopów, blokad i funkcji SLS/SLP z archiwizacją wyników. Wszystkie te aspekty warto uwzględnić w liście kontrolnej audytu bezpieczeństwa robota.

Czy cobot automatycznie spełnia wymagania aplikacji współpracującej?

To jeden z najczęstszych błędów w projektowaniu stanowisk zrobotyzowanych. Producent klasyfikuje ramię jako cobota, integrator zakłada, że certyfikat robota rozwiązuje kwestię bezpieczeństwa – i pomija pełną ocenę ryzyka aplikacji. ISO 10218-2:2025 przesuwa punkt ciężkości z pojęcia robot współpracujący na pojęcie aplikacja współpracująca. Decydujące nie jest to, jakim ramieniem dysponujesz, lecz to, czy cały system – robot, narzędzie, detal, trajektoria i zadanie – spełnia kryteria bezpiecznej współpracy człowiek-robot.

Przykład: robot z certyfikatem cobota wykonujący spawanie łukowe. Samo ramię może mieć funkcję ograniczania siły i mocy (PFL – Power and Force Limiting), ale promieniowanie UV, pryski spawalnicze i opary dyskwalifikują tę aplikację jako współpracującą, niezależnie od parametrów mechanicznych ramienia.

Kolejne pułapki przy aplikacjach współpracujących:

• Tryb PFL jako zamiennik ogrodzeń – nawet przy aktywnym ograniczeniu siły i mocy pełna analiza ryzyka może wykazać konieczność zastosowania dodatkowych środków ochronnych, np. ograniczenia obszarów ruchu lub dodatkowych czujników.
• Tryb SSM (Speed and Separation Monitoring) bez dynamicznych stref – redukowanie tylko prędkości bez projektowania stref reagujących na rzeczywistą pozycję człowieka i bez weryfikacji, czy czujniki nadążają z aktualizacją dystansu w czasie rzeczywistym.
• Tryb hand-guiding bez dedykowanych urządzeń sterujących – prowadzenie ręczne wymaga określonych sił wyzwalania, ograniczeń prędkości i przemyślanego przejścia między trybem ręcznym a automatycznym.

Osobnym zagadnieniem jest mechaniczne stosowanie tablic biomechanicznych z ISO/TS 15066 (Annex A). Limity sił i nacisków podane w normie są populacyjnie uśrednione i nie zastępują analizy kontekstu zadania. Kierunek uderzenia, czas ekspozycji, powtarzalność kontaktu i postawa ciała pracownika zmieniają rzeczywiste ryzyko. Norma rozróżnia też kontakt przejściowy – krótkotrwałe zderzenie, po którym ciało może się cofnąć – od kontaktu quasi-statycznego, czyli zakleszczenia lub zmiażdżenia między ramieniem a stałym elementem otoczenia. Ten drugi scenariusz generuje znacznie wyższe ryzyko i wymaga ostrzejszych limitów. Obszary takie jak głowa i twarz powinny być całkowicie wyłączone z możliwości kontaktu – projektowanie trajektorii nad głową operatora przy jakimkolwiek trybie współpracy jest błędem, niezależnie od odczytanych z tabeli wartości granicznych.

Dlaczego narzędzie końcowe i proces są pomijanymi źródłami ryzyka?

Ocena bezpieczeństwa stanowiska często zatrzymuje się na ramieniu robota – jego masie, prędkości, momentach i funkcjach sterowania. Narzędzie zamontowane na kołnierzu i detal obrabiany mają tymczasem własny profil zagrożeń, który wymaga osobnej analizy. Ostry chwytak, śruba wkręcana z momentem 50 Nm, nóż do cięcia folii, gorąca dysza dozownika kleju – żaden z tych elementów nie jest pokryty certyfikatem bezpieczeństwa ramienia.

ISO/TS 15066 wymaga, by biomechaniczna ocena kontaktu uwzględniała realny kształt i sztywność punktu kontaktu – a nie wyłącznie parametry ramienia. Gładka powierzchnia aluminiowej obudowy robota a ostry narożnik stalowego chwytaka to dwie zupełnie różne sytuacje, nawet przy identycznej sile uderzenia.

Zmiana narzędzia lub detalu w trakcie eksploatacji stanowiska to moment, który wymaga formalnej re-walidacji. Dotyczy to zarówno sił i nacisków kontaktowych, jak i aktualizacji kinematycznych ograniczeń bezpieczeństwa (stref SLP, limitów SLS). W praktyce jednak zmiany narzędzi bywają wprowadzane bez żadnej aktualizacji dokumentacji ani parametrów bezpieczeństwa. Jak unikać takich sytuacji i utrzymać stan bezpieczeństwa celi na właściwym poziomie – opisuję przy okazji omawiania sposobów poprawy bezpieczeństwa celi zrobotyzowanej.

Jakie błędy organizacyjne i eksploatacyjne najczęściej prowadzą do wypadków?

Większość wypadków przy robotach przemysłowych nie wybucha od razu – narasta przez wiele dni małych kompromisów. Sensor zostaje wyłączony po awarii i nikt go nie przywraca. Kurtyna świetlna przestaje poprawnie działać po uderzeniu wózkiem widłowym i zamiast ją naprawić, ktoś mostuje jej obwód. Serwisant wchodzi do strefy przy uruchomionym robocie, bo nigdy nie było jasnej procedury – i przez kilka miesięcy nic się nie dzieje, więc zachowanie utrwala się jako norma.

Błędy eksploatacyjne i organizacyjne, które pojawiają się w analizach wypadków najczęściej:

• Mostkowanie elementów bezpieczeństwa – wyłączanie kurtyn, skanerów lub blokad w celu skrócenia czasu cyklu lub uproszczenia serwisu.
• Brak procedur LOTO – wejście do strefy roboczej bez odłączenia i zablokowania źródeł energii, szczególnie przy pracach serwisowych i regulacyjnych.
• Ogólne szkolenia BHP zamiast szkoleń dedykowanych – operatorzy nie znają specyfiki różnych trybów pracy robota, zasad wejścia do stref i procedur postępowania przy alarmach systemów bezpieczeństwa.
• Zmiany produkcyjne bez re-ewaluacji ryzyka – nowy layout, dodatkowy operator przy celi, zmiana bufora materiału – każda taka modyfikacja zmienia warunki pracy stanowiska i wymaga formalnego przeglądu zgodnie z ISO 10218-2.
• Brak harmonogramu przeglądów układów bezpieczeństwa – badania wskazują, że w ponad 30% analizowanych instalacji przeglądy kurtyn, skanerów i wyłączników awaryjnych były opóźnione lub niewykonane.

W przypadku incydentu lub wypadku ustalenie przyczyny wymaga analizy nie tylko stanu technicznego urządzeń, ale też historii zmian i decyzji organizacyjnych. Metodyka takiej analizy wypadku z udziałem robota obejmuje zarówno warstwę techniczną, jak i organizacyjną.

Wskazówka: Przy każdej zmianie produkcyjnej – nowy detal, zmiana layoutu, dodatkowy punkt dostępu do celi – zanim zostanie wdrożona, przeprowadź choćby uproszczoną re-ewaluację ryzyka i zaktualizuj dokumentację stanowiska. Koszt godziny przeglądu jest nieporównywalnie niższy niż koszt wypadku lub przestoju po zdarzeniu.

Jak cyberbezpieczeństwo wpływa na bezpieczeństwo fizyczne robotów?

Zrewidowana ISO 10218-2:2025 wprowadza wymagania dotyczące cyberbezpieczeństwa jako element wymagań normatywnych dla robotów przemysłowych jako inteligentnych urządzeń sieciowych. To zmiana jakościowa – cyberbezpieczeństwo przestaje być wyłącznie domeną działów IT i staje się częścią oceny ryzyka stanowiska zrobotyzowanego.

Mechanizm zagrożenia jest prosty: atakujący lub błąd sieciowy może zmodyfikować parametry funkcji SLS i SLP, wyłączyć czujniki bezpieczeństwa albo zmienić program ruchu robota. Skutek to fizyczne zagrożenie dla operatora, nie utrata danych.

Praca naukowa z 2021 roku analizująca bezpieczeństwo aplikacji robotycznych opartych na środowisku ROS wykazała, że domyślna konfiguracja tego systemu nie zawiera praktycznie żadnych wbudowanych mechanizmów bezpieczeństwa. Autorzy wskazali konkretne luki:

• Niezabezpieczone porty TCP bez uwierzytelniania – umożliwiają przechwytywanie i manipulację ruchem sieciowym oraz wstrzykiwanie fałszywych wiadomości do systemu.
• Anonimowa semantyka publish/subscribe – węzły nie weryfikują, z kim komunikują, co utrudnia kontrolę dostępu i identyfikację źródła poleceń.
• Brak sprawdzania integralności danych – brak weryfikacji nadawcy i autentyczności komunikatów, brak zdefiniowanych poziomów dostępu.

Powszechny błąd projektowy to poleganie na fabrycznej konfiguracji środowiska sterowania bez dodania segmentacji sieci, szyfrowania i uwierzytelniania. Dotyczy to nie tylko ROS – brak separacji sieci produkcyjnej OT od sieci biurowej IT, używanie domyślnych haseł i portów oraz zaległe aktualizacje oprogramowania sterowników to problemy, które pojawiają się w bardzo wielu instalacjach przemysłowych.

Jak sprawdzić i poprawić stan bezpieczeństwa istniejącego stanowiska?

Audyt bezpieczeństwa stanowiska zrobotyzowanego to jedyna rzetelna metoda weryfikacji, czy rzeczywisty stan instalacji odpowiada wymaganiom normatywnym i dokumentacji. Obejmuje on zarówno warstwę projektową (kompletność i aktualność oceny ryzyka), jak i warstwę techniczną (weryfikacja działania wszystkich funkcji bezpieczeństwa, pomiar rzeczywistych czasów reakcji) oraz organizacyjną (procedury, szkolenia, dokumentacja zmian).

Zakres minimalny przeglądu bezpieczeństwa stanowiska zrobotyzowanego:

• Weryfikacja aktualności oceny ryzyka względem obecnej konfiguracji stanowiska.
• Sprawdzenie poprawności działania wszystkich torów E-STOP i blokad wejść do celi.
• Pomiar rzeczywistej drogi zatrzymania robota i porównanie z przyjętymi bezpiecznymi odległościami montażu kurtyn i skanerów.
• Weryfikacja konfiguracji funkcji SLS, SLP, SS1/SS2 i zgodności z wymaganym PL.
• Przegląd stanu technicznego urządzeń ochronnych – kalibracja skanerów, integralność kurtyn, stan mat naciskowych.
• Weryfikacja procedur LOTO i dokumentacji szkoleń operatorów.
• Przegląd dokumentacji zmian wprowadzonych od ostatniego audytu.

Jeśli stanowisko nie było modernizowane od kilku lat, modernizacja bezpieczeństwa robotów przemysłowych może być bardziej uzasadniona ekonomicznie niż wielokrotne poprawki. Systematyczny audyt umożliwia też priorytetyzację działań – nie każda luka wymaga natychmiastowej interwencji, ale każda musi być świadomie zinwentaryzowana i zarządzana.

Podsumowanie

Najczęstsze błędy bezpieczeństwa w robotyce rzadko wynikają z ignorancji – wynikają ze spłaszczenia złożonych wymagań normatywnych do formalności. Jednorazowa ocena ryzyka zamiast żywego dokumentu, domyślny PL d zamiast wyznaczonego PLr, certyfikat cobota zamiast oceny całej aplikacji współpracującej, brak walidacji po zmianie narzędzia – każdy z tych skrótów tworzy realną lukę. Bezpieczeństwo stanowiska zrobotyzowanego jest stanem wymagającym ciągłego utrzymania: regularnych testów funkcji bezpieczeństwa, aktualizacji dokumentacji i szkoleń dopasowanych do specyfiki danego systemu.

FAQ

Q: Jak często należy testować wyłączniki awaryjne i blokady w celi robotycznej?

A: Wytyczne praktyczne zalecają co najmniej coroczne testy wszystkich torów E-STOP, blokad wejść i funkcji SLS/SLP z archiwizacją wyników. Po każdej modyfikacji stanowiska testy należy powtórzyć niezależnie od harmonogramu.

Q: Czy operator może samodzielnie wejść do strefy roboczej robota przy aktywnym trybie SSM?

A: Tryb SSM (monitorowanie prędkości i odległości) nie zwalnia z wymagania utrzymania bezpiecznego dystansu. Wejście jest dopuszczalne tylko wtedy, gdy system w czasie rzeczywistym potwierdza wymagany odstęp człowiek-robot i stosowane są odpowiednie procedury.

Q: Co grozi za brak aktualnej oceny ryzyka przy zrobotyzowanym stanowisku?

A: Brak aktualnej dokumentacji oceny ryzyka stanowi niezgodność z rozporządzeniem maszynowym i normami ISO 10218-2 oraz ISO 12100. W razie wypadku jest to czynnik wpływający na odpowiedzialność cywilną i karną producenta lub integratora.

Q: Czy norma ISO/TS 15066 nadal obowiązuje po wydaniu ISO 10218-2:2025?

A: ISO/TS 15066 została wchłonięta jako podstawowy punkt odniesienia do zaktualizowanej ISO 10218-2:2025. Jej wymagania dotyczące aplikacji współpracujących nadal obowiązują, teraz w ramach nowej normy głównej.

Q: Jakie dokumenty powinny być dostępne przy stanowisku zrobotyzowanym podczas kontroli?

A: Przy stanowisku powinna być dostępna aktualna ocena ryzyka, deklaracja zgodności celi, dokumentacja konfiguracji funkcji bezpieczeństwa, protokoły testów odbiorczych oraz procedury LOTO i szkoleniowe dla operatorów.

Weryfikacja i redakcja

Za redakcję i weryfikację artykułu odpowiadają:

Joanna Lewandowska. Specjalistka ds. automatyki i integracji. Absolwentka kierunku Automatyka i Robotyka na Akademii Górniczo-Hutniczej im. Stanisława Staszica w Krakowie.

Piotr Woźniak. Doświadczony redaktor technologiczny. Absolwent kierunku Dziennikarstwo i Komunikacja Społeczna na Uniwersytecie Warszawskim.