أثناء الإعداد أو الضبط أو استكشاف الأعطال أو التنظيف، قد لا يكون من الممكن دائماً الإبقاء على جميع شروط الحماية الخاصة بوضع الإنتاج كما هي. وبدلاً من تحويل هذه الحالات الخاصة إلى «تجاوز» غير منضبط، يتيح اختيار الوضع الآمن إدارة من يمكنه اختيار كل وضع تشغيل، وكيفية التحقق من الاختيار، ووظائف السلامة التي تبقى فعّالة في كل وضع، ضمن عملية محددة. يتيح حل Mode of Safe Operation من Bihl+Wiedemann إجراء الاختيار المسبق عبر HMI قياسية، وتقييد الصلاحيات باستخدام نظام مفاتيح إلكترونية، وتنفيذ التفعيل الفعلي بأمان بواسطة Safety Monitor. ولا يحل هذا النهج محل تقييم المخاطر أو التحقق الخاص بالآلة.
ما الذي يعالجه وضع التشغيل الآمن؟
في الإنتاج الآلي، تفصل أقفال الأبواب والستائر الضوئية والحواجز الثابتة المشغّل عن الحركة الخطرة. وأثناء الضبط، قد يحتاج المشغّل إلى رؤية قطعة العمل أو الأداة أو آلية الحركة. وقد يبدو فتح الباب وتجسير مستشعر حلاً سريعاً، لكنه يجعل شروط السلامة التي تعمل ضمنها الآلة غير واضحة، وقد يتحول الحل المؤقت إلى خطر دائم. يحدّد اختيار الوضع الآمن ظروف التشغيل البديلة منذ مرحلة التصميم، ولا يفعّلها إلا مع وظائف السلامة المسموح بها.
«الوضع» ليس مجرد وصفة تشغيل تتغير على HMI. فعند تغيير الوضع، قد تتغير شروط السماح بالبدء الآلي أو سرعة الحركة أو اتجاهها أو المحور أو المنطقة؛ وأجهزة الحماية الفعّالة؛ ومتطلبات التشغيل بالضغط المستمر أو جهاز التمكين؛ وسلوك إعادة الضبط وإعادة التشغيل. يجب تحديد وظائف السلامة لكل وضع في بنود منفصلة، وإذا جرى تعطيل وظيفة ما، فيجب توضيح تدبير خفض المخاطر الذي يحل محلها. ولا يُعد «وضع الخدمة» الذي يعطّل جميع وسائل الحماية لتحقيق أهداف الإنتاج اختياراً آمناً للوضع.
| سؤال التصميم | النهج الآمن | الافتراض الواجب تجنّبه |
|---|---|---|
| أين يتم الاختيار؟ | تعرض HMI الاختيار المسبق للمستخدم؛ ويتحقق Safety Monitor من تسلسل الاختيار ويفعّله | بتّ HMI وحده أمر آمن |
| من يمكنه تغيير الوضع؟ | يُقيَّد مستوى الصلاحية باستخدام مفتاح إلكتروني أو آلية إدارة مكافئة | كل من يعرف كلمة المرور يمكنه إدارة المخاطر نفسها |
| ماذا يحدث عند خفض مستوى الحماية؟ | يُفعَّل تدبير مثل السرعة المخفّضة الآمنة أو التوقف الآمن أو الاتجاه الآمن أو جهاز التمكين | يمكن قبول المخاطر لأن مدة الصيانة قصيرة |
| هل توجد أقسام متعددة؟ | يُحدَّد وضع كل قسم وحدوده وتفاعله مع المنطقة المجاورة بصورة مستقلة | يجب أن يستخدم الخط بأكمله الوضع نفسه في الوقت ذاته |
| ماذا يحدث عند عودة التغذية أو الاتصال؟ | يُعاد التحقق من الصلاحية السارية والاختيار الآمن؛ ويُمنع بدء التشغيل غير المتوقع | يمكن استئناف الوضع السابق تلقائياً |
سلسلة الاختيار في حل Bihl+Wiedemann
تصف الصفحة الرسمية لحل Mode of Safe Operation عملية لا يُعرض فيها للمستخدم على لوحة لمس قياسية إلا الأوضاع التي يمكن تفعيلها بالصلاحية الحالية. وعندما يختار المستخدم وضعاً، تكون هذه الخطوة الأولى اختياراً مسبقاً. يتحقق Safety Monitor من الاختيار المسبق ويعرض النتيجة المتحقق منها للمستخدم مجدداً. وبعد تأكيد ثانٍ من المستخدم، يُفعَّل الوضع المعني ضمن منطق السلامة. تمنع هذه العملية القائمة على التغذية الراجعة اعتبار لمس موضع خاطئ على الشاشة أو عدم تطابق البيانات بين HMI والمراقب اختياراً آمناً بصورة مباشرة.
توضح Bihl+Wiedemann أن كتلة الوظائف المعتمدة من TÜV ضمن ASIMON360 تتيح تهيئة خمسة أوضاع تشغيل مختلفة بصورة مستقلة لستة أقسام منفصلة من الآلة، وأن الحل قابل للتطبيق حتى PL e. هذه الأعداد وهذا المستوى من خصائص المنتج؛ وليس من الضروري استخدام خمسة أوضاع في كل آلة، كما أن تحقيق PL e ليس تلقائياً. ويجب التحقق معاً من طراز Safety Monitor المختار واتصال HMI والصلاحيات ووظائف السلامة والأجهزة الميدانية وسلسلة المخارج.
منح الصلاحية والاختيار الآمن ليسا الشيء نفسه
يساعد نظام المفاتيح الإلكترونية على تحديد صلاحيات وصول مختلفة إلى الأوضاع لمجموعات المستخدمين، مثل فني الصيانة وفني الضبط ومشغّل الإنتاج. وتوضح الصفحة الرسمية لشركة Bihl+Wiedemann إمكانية تخصيص خمسة مستويات مختلفة للمفاتيح للأوضاع باستخدام نظام المفاتيح الإلكترونية Euchner EKS. تسمح الصلاحية للمستخدم باختيار الوضع؛ أما ضمان معالجة الاختيار بصورة صحيحة من ناحية السلامة، فيتولاه منطق Safety Monitor. ولا تحل أي من هاتين المهمتين محل الأخرى.
تُعد مشاركة المفتاح أو فقدانه أو عدم إزالته في نهاية الوردية أو عدم تحديث النظام عند تغيّر مهام المستخدم مخاطر تشغيلية. ويجب إدارة مصفوفة الصلاحيات على أساس الاسم أو الدور الوظيفي، ووضع إجراء لإلغاء الصلاحيات وضبط المفاتيح الاحتياطية. ويجب أن يظهر على HMI المستخدم الحالي والقسم المختار والوضع الفعّال. كما يجب التعامل مع سياسات البيانات الشخصية وسجلات المستخدمين والاتصال عن بُعد بما يتوافق مع قواعد الأمن السيبراني للمنشأة.
السلامة المحلية ومراقبة السرعة: BWU2852
جهاز BWU2852 هو Safety Basic Monitor بميزات موسّعة. وتصف صفحة المنتج الرسمية الجهاز بأنه وحدة تحكم مدمجة مزوّدة بمداخل ومخارج آمنة محلية وSafe Link وواجهة تشخيص Ethernet ووظيفة مراقبة آمنة للسكون والسرعة عبر إشارات مستشعرات الاقتراب (initiator). ويمكن النظر في هذه المجموعة من الميزات لوظائف خاصة بالآلة، مثل مراقبة السرعة المنخفضة المسموح بها فقط أثناء فتح الباب في وضع الضبط. ويجب الرجوع إلى ورقة البيانات الكاملة لتحديد المداخل التي يمكن استخدامها لمراقبة السرعة وعدد المحاور وحدّ التردد.
السرعة المخفّضة الآمنة لا تعني ضبط مرجع السرعة القياسي لوحدة القيادة على قيمة صغيرة. بل يجب قياس الحركة بصورة مستقلة أو ضمن بنية مناسبة، وفصل الخرج الآمن خلال زمن محدد عند تجاوز الحد، وأن تكون مسافة التوقف الميكانيكية مقبولة. ويجب حساب عدد المستشعرات وبنية القنوات ونسبة التروس وتردد النبضات واحتمال الأعطال ذات السبب المشترك. وتشير صفحة منتج BWU2852 إلى ملاءمته للتطبيقات حتى الفئة 4/PL e/SIL 3؛ أما النتيجة الفعلية فتعتمد على بنية مراقبة السرعة المختارة وسلسلة السلامة بأكملها.
كيف ينبغي تحديد شروط السماح بالحركة عند تغيير الوضع؟
على سبيل المثال، عند الاختيار المسبق لوضع «الضبط»، يمكن لـ Safety Monitor تقييم الصلاحية وتأكيد الاختيار وحالة الباب المعني وجهاز التمكين وإشارة جاهزية مراقبة السرعة معاً. ويُحدَّد ضمن المنطق الخاص بالآلة عدم السماح بفك قفل الباب قبل التحقق من السرعة المخفّضة الآمنة، أو فصل الخرج الآمن عند تجاوز حد السرعة. ويجب ألا يؤدي تفعيل الوضع وحده إلى توليد أمر حركة؛ إذ تبقى أوامر التحكم القياسية وشروط التأكيد الإضافية منفصلة.
عند العودة من الوضع إلى الإنتاج، يجب التحقق من إعادة تفعيل جميع وسائل الحماية، وإغلاق الأبواب وقفلها، وعدم بقاء أدوات مستخدمة مؤقتاً أو أفراد داخل منطقة الخطر. وقد يكون تأكيد المستخدم مجرد شرط واحد من شروط وظيفة إعادة الضبط؛ ويجب ألا تؤدي إعادة الضبط إلى بدء الحركة الخطرة تلقائياً. ويجب توضيح هذا السلوك في نصوص HMI وتعليمات المشغّل.
مراقبة السرعة والموضع بأمان باستخدام المشفّر: BWU2849
في بعض الآلات، لا توفر نبضات مستشعرات الاقتراب البسيطة دقة كافية لمراقبة حد السرعة أو الموضع. وتصف بيانات المنتج الرسمية BWU2849 بأنه جهاز ASi Speed Monitor معياري يدعم إشارات المشفّرات sin/cos وTTL وSSI. ويحتوي على دائرتَي خرج إلكترونيتين آمنتين سريعتين ووصلتَي RJ45 للمشفّرات؛ ويمكن مراقبة ما يصل إلى محورين في تهيئات sin/cos أو TTL المناسبة. وتوضح ورقة بيانات الشركة المصنّعة أن استخدام SSI في تطبيقات السلامة يتطلب مشفّراً ثانياً كمرجع؛ وفي هذه الحالة يمكن استخدام منفذَي المشفّرات لمحور آمن واحد. ويجب التحقق من نوع الإشارة المدعوم وتغذية المشفّر وكابلات المهايئ وطريقة أخذ الإشارة بالتوازي إلى وحدة قيادة التحكم، بالرجوع إلى تعليمات المنتج الكاملة.
يمكن، بالاقتران مع اختيار الوضع الآمن، تحديد شروط مثل نطاق الموضع أو الاتجاه أو السكون أو السرعة المنخفضة. فعلى سبيل المثال، يمكن السماح بالحركة اليدوية داخل منطقة ميكانيكية محددة فقط وعند سرعة مخفّضة. لكن هذا المثال لا يعني أن BWU2849 سيوفر جميع الوظائف بمفرده في كل آلة. ويجب التحقق معاً من وظائف الحركة الآمنة وبنية المشفّرات المختارة وسلوك وحدة القيادة وتهيئة المراقب وتأثير المخارج الآمنة على المشغّل الميكانيكي.
الاختيار المركزي في الآلات متعددة الأقسام: BWU3961
جهاز BWU3961 هو طراز بوابة يضم وحدتَي تحكم رئيسيتين ASi-5/ASi-3 وواجهة POWERLINK ووحدة ASi-5/ASi-3 Safety Monitor مدمجة. وتسرد ورقة البيانات الرسمية لهذا الجهاز دعم Mode of Safe Operation وSafe Link، وستة مداخل آمنة أحادية القناة أو ثلاثة مداخل آمنة ثنائية القناة بحسب التهيئة، وستة مخارج إلكترونية آمنة منفصلة عنها، وخادم OPC UA وREST API وتشخيصاً قائماً على الويب. ويمكن النظر في استخدام بوابة كهذه لإظهار اختيار الوضع عبر HMI في نظام التحكم الأعلى مستوى، مع إبقاء التفعيل الآمن داخل المراقب المدمج.
يمكن أن تساعد شبكتا ASi على تقسيم الأجهزة الميدانية إلى مجموعات مادية ومنطقية في الآلات الطويلة أو المقسّمة إلى أقسام. وتوضح Bihl+Wiedemann أن حلها يدعم ما يصل إلى ست نسخ مستقلة لاختيار الوضع؛ أما إمكانية بقاء قسم في وضع الإنتاج بينما يكون قسم آخر في وضع الضبط، فتُحدَّد أيضاً من خلال تقييم المخاطر. وإذا وُجدت حركة مشتركة أو احتمال سقوط مواد أو انحشار أو وصول روبوت مجاور في منطقة النقل، فلا يمكن اعتبار المناطق مستقلة تماماً. ويجب إنشاء شروط السماح المتبادل اللازمة باستخدام Safe Link أو إشارات آمنة محلية.
دور HMI القياسية في نظام السلامة
يتيح الحل استخدام HMI قياسية؛ وتكمن الفائدة في إمكانية عرض مخطط الآلة وأسماء الأقسام والوضع الفعّال للمشغّل بصورة واضحة. وتسرد HMI الأوضاع التي يمكن اختيارها بالصلاحية الحالية، وترسل الاختيار المسبق، ثم تعيد عرض الاختيار الذي تحقق منه Safety Monitor. ونظراً إلى أن التفعيل الآمن يتم داخل المراقب، فلا تُعد لوحة HMI نفسها وحدة تحكم آمنة.
ينبغي استخدام عبارات واضحة في تصميم الواجهة بدلاً من الأسماء والألوان المتشابهة. ويمكن تفضيل تسميات مرتبطة بالغرض، مثل «ضبط القالب – سرعة منخفضة» أو «التنظيف – الحركة ممنوعة»، بدلاً من عناوين مبهمة مثل «يدوي 1» و«يدوي 2». ويجب أن يبقى الوضع الفعّال والقسم المختار وشروط الحماية المتبقية ظاهرة باستمرار. وإذا اختلف الاختيار المسبق على شاشة اللمس عن الوضع الفعّال فعلياً، فيجب أن يرى المستخدم هذا الاختلاف بوضوح.
كتلة الوظائف وإدارة الإصدارات في ASIMON360
تُفعَّل وظيفة Mode of Safe Operation ضمن تهيئة ASIMON360؛ وتُربط الأوضاع القابلة للاختيار بمستويات الصلاحيات، وتُستخدم كتلة MSO المعنية ضمن منطق السلامة. ووفقاً للصفحة الرسمية، يمكن تهيئة الاختيار لما يصل إلى خمسة أوضاع وست نسخ منفصلة بحرية. ويجب مقارنة توصيلات الكتل ووظائف السلامة الفعّالة والمخارج الخاصة بكل وضع بمصفوفة المتطلبات. ولا يُثبت تغيير اسم القسم في نسخة منسوخة أن التوصيلات الآمنة قد تغيّرت بصورة صحيحة.
يجب ربط ملف التهيئة والبرنامج الثابت للجهاز وشاشة HMI وجدول صلاحيات المستخدمين بحزمة التغيير نفسها. وإذا جرى تغيير اسم وضع على HMI مع بقاء معناه السابق في منطق السلامة، فقد ينشأ خطأ تشغيلي جسيم. ويجب توثيق المجموع الاختباري للإصدار المعتمد ووسيط النسخ الاحتياطي للجهاز وإجراء الاستعادة. وبعد أي تغيير، لا يكفي التحقق من فتح الشاشة الجديدة فقط، بل يجب إعادة اختبار جميع انتقالات الأوضاع المتأثرة.
حالات الانتقال لا تقل أهمية عن الأوضاع نفسها
عند الانتقال من الإنتاج إلى الضبط، أو من الضبط إلى الصيانة، أو من وضع منطقة محددة إلى التوقف العام، يجب ألا يبقى النظام في حالة غير محددة ولو لفترة قصيرة. أثناء الاختيار المسبق، تظل شروط السلامة للوضع السابق سارية؛ ولا يُفعَّل الوضع الجديد إلا بعد اكتمال التحقق بواسطة Safety Monitor وتأكيد المستخدم. في حال انتهاء المهلة أو تعارض الطلبات أو انقطاع الاتصال، يجب إلغاء الاختيار المسبق وإبقاء الآلة في الحالة الآمنة المحددة.
يُحدَّد حسب التطبيق ما إذا كان سحب المفتاح الإلكتروني سيؤدي إلى إلغاء الوضع النشط فوراً. فقد يؤدي الإلغاء الفوري إلى توقف آمن في بعض الآلات، بينما قد ينشئ خطراً إضافياً في عملية أخرى. وبالمثل، قد لا يكون من المناسب استعادة الوضع الأخير من الذاكرة عند عودة التغذية الكهربائية. يُحدَّد السلوك الصحيح بناءً على تحليل المخاطر وإجراءات التشغيل والتهيئة التي تسمح بها وظائف الشركة المصنّعة؛ وتُدرَج نتائج الاختبار في تدريب المشغّلين.
سيناريوهات الأعطال لاختبارات FAT وSAT
- اختيار غير مصرّح به: يُتحقَّق من أن الأوضاع المحظورة لا تظهر أو لا يمكن تفعيلها عند عدم كفاية مستوى الصلاحية.
- القسم الخاطئ: يُتحقَّق من أن الاختيار الذي يُجرى لقسم ما لا يُحدث تغييراً غير متوقع في وظيفة السلامة بالقسم المجاور.
- فقدان الاختيار المسبق: يُقطع اتصال HMI بين الاختيار المسبق والتأكيد؛ ويجب أن يظل النظام في الحالة الآمنة السابقة.
- تجاوز السرعة: يُتجاوز حد السرعة الآمنة المحدد في وضع الضبط بطريقة مضبوطة، وتُقاس استجابة الخرج الآمن.
- عطل المستشعر: يُتحقَّق من السلوك الآمن المتوقع عند حدوث عطل في قناة المشفّر أو مستشعر التقارب أو مفتاح الباب أو جهاز التمكين.
- فقدان الصلاحية: تُختبَر سيناريوهات سحب المفتاح الإلكتروني والمفتاح غير الصالح والمستخدم الذي أُلغيت صلاحيته.
- عودة التغذية الكهربائية: يُتحقَّق من عدم حدوث حركة تلقائية عند تشغيل HMI والبوابة وSafety Monitor والوحدات الميدانية بترتيبات مختلفة.
- عدم توافق الإصدارات: يُكتشَف عدم توافق تركيبة إصدارات HMI وتهيئة السلامة، أو يُمنع استخدامها بموجب إجراء وضع النظام في الخدمة.
قائمة التحقق للمشروع وعرض السعر
- الغرض من كل وضع تشغيل، والحركات المسموح بها، ووسائل الحماية الفعّالة، والعمليات المحظورة
- أهداف PLr/SIL المطلوبة لكل وضع، والحالة الآمنة، وزمن الاستجابة، والتدابير التعويضية
- أقسام الآلة، والمخاطر المشتركة، ونقاط النقل، وأذونات السلامة بين المناطق
- تسلسل الاختيار المسبق عبر HMI، والتغذية الراجعة للتحقق، والتأكيد على مرحلتين، والسلوك عند انتهاء المهلة
- أدوار المستخدمين، ومستويات المفاتيح الإلكترونية، وإجراء الفقدان/الإلغاء، وسجلات الأحداث
- رمز المنتج الكامل لجهاز Safety Monitor أو البوابة، وشبكات ASi، وSafe Link، وواجهة ناقل المجال الأعلى مستوى
- المستشعر أو المشفّر الخاص بالسرعة/التوقف/الموضع الآمن، والنسب الميكانيكية، ودقة التمييز، والاستجابة للأعطال
- ترابط الإصدارات بين مشاريع ASIMON360 وHMI وPLC، والنسخ الاحتياطي، وإدارة التغييرات المصرّح بها
- حقن الأعطال في اختبارات FAT/SAT، وأزمنة التوقف المقاسة، وتدريب المشغّلين، والاختبارات الدورية
لا يهدف الاختيار الآمن للوضع إلى تعقيد أعمال الصيانة، بل إلى جعل التشغيل خارج نطاق الإنتاج واضحاً وقابلاً للرقابة. يمكن لحل Bihl+Wiedemann أن يجمع واجهة HMI قياسية وإدارة الصلاحيات وSafety Monitor، وعند الحاجة مراقبة الحركة الآمنة، ضمن بنية واحدة. لكن تحقيق السلامة لا يتم إلا من خلال مصفوفة أوضاع خاصة بالآلة، واختيار طرازات المنتجات الصحيحة، والتحقق الذي يشمل أيضاً الحالات الانتقالية.
