يتعامل نهج Safety Specialist مع سلامة الآلات بوصفها تخصصاً هندسياً يُدار طوال دورة الحياة، بدلاً من اختزالها في مرحّل أو PLC آمن أو شهادة تُمنح بعد اجتياز اختبار. تشمل برامج Siemens الحالية ضمن SITRAIN للتدريب والاختبارات في السلامة الوظيفية، والمنفذة بالتعاون مع TÜV، تقييم المخاطر ومتطلبات وظائف السلامة وإطارَي EN ISO 13849-1 وIEC 62061 والتحقق وإثبات الصلاحية والتغييرات والتوثيق. ويُعد إتمام البرنامج بنجاح دليلاً على الكفاءة الشخصية؛ لكنه لا يثبت بمفرده سلامة آلة أو مشروع محدد أو منتجات Siemens المستخدمة. فالنتيجة الآمنة تعتمد، إلى جانب كفاءة الفريق، على التحليل الصحيح للمخاطر، والاختيار المناسب للمكونات، والحسابات، والتنفيذ، واختبار القبول في الموقع.
ماذا تعني الخبرة في السلامة المعتمدة من TÜV؟
قد تختلف أسماء البرامج وشروطها المنشورة على صفحات SITRAIN الرسمية التابعة لـ Siemens باختلاف البلد. وتُدرج صفحة صناعة الآلات الحالية في المملكة المتحدة برنامج «Functional Safety for the Machine Industry Workshop & Certification» بالرمز ST-NSST. أما البرنامج التفصيلي في هولندا فيعرّف شهادة TÜV الشخصية الممنوحة بعد الاختبار ضمن إطار TÜV SÜD و«Siemens Functional Safety Professional». لذلك، ينبغي عدم استخدام تعبير مبهم مثل «نظام معتمد من TÜV» وحده في عرض السعر أو السيرة الذاتية؛ بل يجب تأكيد اسم شهادة الشخص ونطاقها والجهة المانحة ورقمها وشروط صلاحيتها وفقاً لما ورد في الوثيقة.
تكمن قيمة التدريب الأساسية في إكساب المعرفة المنهجية قبل استخدام المنتجات. تتناول أوصاف دورات Siemens التشريعات والمعايير، وتقييم المخاطر، ومواصفات متطلبات السلامة، والبنى، ومعاملات الاعتمادية، والبرمجيات، والتحقق، وإثبات الصلاحية بصورة مترابطة. وهذه الموضوعات أوسع من مجرد قائمة لاختيار المنتجات. فبدلاً من نسخ دائرة جاهزة، يبحث الخبير في كيفية نشوء الحركة الخطرة، والحالة الآمنة المطلوبة عند وقوع كل حدث، والأدلة التي تثبت أن التصميم يحققها.
| المرحلة | السؤال الأساسي للخبير | السجل المتوقع للمشروع |
|---|---|---|
| تقييم المخاطر | من قد يتعرض لأي مصدر خطر، وأثناء أي استخدام أو سوء استخدام؟ | حدود الآلة، والمهام، وقائمة مصادر الخطر، والمخاطر الأولية، وقرارات خفض المخاطر |
| المتطلبات | متى تُفعَّل الوظيفة، وما الحالة الآمنة، وخلال أي مدة يجب بلوغها؟ | مواصفات متطلبات السلامة، وهدف PLr أو SIL، وميزانية زمن الاستجابة |
| التصميم | هل تتوافق السلسلة كاملةً، من المستشعر إلى المشغّل، مع الهدف؟ | البنية، والمخططات، والحسابات، وطرازات الأجهزة، والاستجابات للأعطال، وتصميم البرمجيات |
| التحقق | هل يلبي التصميم والحسابات المتطلبات المكتوبة؟ | المراجعة المستقلة، ونتائج الحسابات، ومراجعة الشيفرة البرمجية، ومصفوفة التتبّع |
| إثبات الصلاحية | هل تُظهر الآلة الفعلية السلوك الآمن الصحيح في جميع الظروف المتوقعة؟ | سيناريوهات FAT/SAT، والقياسات، وحقن الأعطال، وسجلات الانحرافات وإغلاقها |
من تقييم المخاطر إلى وظيفة السلامة
يبدأ العمل بتحديد حدود الآلة، لا بكتالوج الأجهزة. وتُراجع بصورة منفصلة حالات الإنتاج العادي، والضبط، والتنظيف، ومعالجة الأعطال، والصيانة، وفصل مصادر الطاقة، وسوء الاستخدام المتوقع. وتُسجّل مصادر الخطر، مثل القطع والانحشار والسحق والقذف والكهرباء والضغط ودرجة الحرارة والحركة غير المتوقعة، مع بيان كيفية تعرض الشخص المعني لها. وتكون الأولوية للتصميم الآمن بطبيعته والحواجز الواقية الميكانيكية. أما وظيفة السلامة القائمة على نظام التحكم فهي جزء من خطة أشمل لخفض المخاطر؛ ولا تحل تلقائياً محل الحاجز الواقي أو طريقة العمل.
تُعزّز صياغة عبارة واضحة لكل وظيفة جودة التصميم، مثل: «عند فتح الباب الواقي، تُفصل طاقة القيادة الخطرة خلال المدة المحددة، ولا تحدث إعادة تشغيل تلقائية عند إغلاق الباب». ثم تُحدَّد أجهزة الإدخال والمنطق والاتصالات الآمنة وعناصر الخرج والقدرة. في نهج EN ISO 13849-1، يُستخلص مستوى الأداء المطلوب PLr من تقييم المخاطر؛ وفي نهج IEC 62061، يُستخلص منه هدف SIL المطلوب. ولا تتحقق هاتان القيمتان تلقائياً بمجرد اعتماد أعلى قيمة مبيّنة على أحد المكونات. بل تُقيَّم الفئة أو البنية، واحتمالية العطل الخطر، والتغطية التشخيصية، والأعطال ذات السبب المشترك، ودورة التشغيل، والتدابير البرمجية على مستوى الوظيفة بأكملها.
لماذا يتطلب زمن الاستجابة ومسافة التوقف أدلة مستقلة؟
إن عمل المنطق الكهربائي بصورة صحيحة لا يثبت وحده توقف الحركة الخطرة في الوقت المناسب. فزمن استشعار المستشعر، ودورة الإدخال والتحكم الآمنين، وتحديث الشبكة، والخرج الآمن، وسلوك الكونتاكتور أو وحدة القيادة، والتباطؤ الميكانيكي، تشكّل معاً زمن الاستجابة الكلي. وعند تحديد موضع الستارة الضوئية أو ماسح المناطق، يجب استخدام زمن التوقف المقاس والنهج الوارد في المعيار ذي الصلة. وإذا تغيّر حمل الآلة أو سرعتها أو تآكل المكابح أو وصفة المنتج، فتُعاد مراجعة حساب المسافة السابق.
مرحّلات السلامة SIRIUS 3SK للوظائف المدمجة
توفر عائلة SIRIUS 3SK خيارات معيارية لتقييم إشارات المستشعرات وإدارة الفصل الآمن في وظائف سلامة الآلات، مثل الإيقاف الطارئ ومراقبة الأبواب الواقية. وتعرض صفحة منتجات Siemens الحالية عائلة 3SK1 للتطبيقات الأبسط، وعائلة 3SK2 القابلة لضبط المعلمات برمجياً للمتطلبات الأكثر تعقيداً. وقد تشكّل إمكانية فصل مخارج السلامة في 3SK2 بصورة منفردة، وتوسعات الإدخال/الإخراج، ونقل بيانات التشخيص إلى نظام التحكم الأعلى، بديلاً لترتيبات المرحّلات المتعددة الموصّلة بالأسلاك في الآلات المدمجة.
تشير عبارة «حتى SIL 3 وPL e» الواردة في صفحة المنتج إلى الحد الأعلى لنطاق التطبيقات الذي يمكن للعائلة بلوغه باستخدام الطراز والبنية المناسبين. وعند اختيار 3SK، يجب مراجعة رقم الطلب الفعلي ونوع الإدخال وتقنية الخرج وتوصيل التوسعة ومراقبة التغذية الراجعة وسلوك إعادة الضبط والتغذية الكهربائية والظروف البيئية في وثائق المنتج. ويشمل حساب الوظيفة التغذية الراجعة لكشف التصاق نقاط تلامس الكونتاكتورات، وتشخيص القصر والتوصيل المتقاطع بين الدوائر، ومسار الكابلات، وتدابير منع الأعطال ذات السبب المشترك. أما بِتّ الحالة المرسل إلى PLC قياسي فهو مخصص للتشخيص؛ ولا يُعد إشارة تحكم خاصة بالسلامة ما لم تُنشأ بنية آمنة مناسبة.
سلامة قابلة للبرمجة والتوسّع: SIMATIC F-CPU
عند زيادة عدد الوظائف أو الحاجة إلى بيانات آمنة بين الخلايا أو إلى مزيد من التشخيص، يمكن النظر في وحدات التحكم SIMATIC الآمنة عند الأعطال. وتعرض صفحة SIMATIC Controller Selection Guide الحالية من Siemens الخيارات الآمنة عند الأعطال كأحد معايير الاختيار ضمن محفظة وحدات التحكم. وتوضح وثائق S7-1500 F-CPU إمكانية تنفيذ البرامج القياسية وبرامج السلامة على CPU نفسها، مع دعم الاتصالات الآمنة عند الأعطال والبنى الموزعة. وتتمثل فائدة ذلك للمشروع في إتاحة الأتمتة القياسية وهندسة السلامة ضمن سلسلة أدوات مشتركة؛ مع ضرورة الاستمرار في إدارة برنامج السلامة بصلاحيات منفصلة وتوقيع ومعلومات بناء برمجي وعملية قبول خاصة به.
لا يُحدَّد أداء CPU بناءً على عدد أسطر البرنامج وحده. بل تُدرس معاً مدة دورة السلامة، وإجمالي F-I/O، واتصالات PROFIsafe، ومهام التحكم بالحركة أو المهام التقنية، وطوبولوجيا الشبكة، والذاكرة، ومعيار قطع الغيار، والتوسعات المستقبلية. ويجب تقسيم كتل برنامج السلامة إلى وظائف واضحة؛ مع تحديد شروط إعادة الضبط وإعادة الدمج ووضع الانتقال والسماح بالصيانة وإعادة التشغيل بوضوح. وعند إجراء تغيير برمجي، لا يقتصر الاختبار على سطر المنطق السلمي المعدّل؛ بل تُحدَّد اختبارات عدم التراجع للوظائف المعنية من خلال تحليل أثر التغيير.
طبقة الإشارات الموزعة: وحدات I/O الآمنة عند الأعطال من SIMATIC ET 200SP
قد يؤدي وضع وحدات I/O موزعة بالقرب من المعدات الميدانية أو الخلية، بدلاً من توصيل مستشعرات السلامة إلى لوحة مركزية بكابلات طويلة، إلى تبسيط التوصيلات والتشخيص. وتوضح صفحة ET 200SP الحالية من Siemens إمكانية الجمع بين وحدات I/O القياسية والتناظرية والتقنية والآمنة عند الأعطال ضمن عائلة المحطات نفسها؛ فيما يوضح دليل النظام أن اتصالات السلامة بين F-CPU والوحدات الآمنة عند الأعطال تُنشأ عبر PROFIsafe. ولا يغيّر وجود الوحدات القياسية ووحدات F في المحطة نفسها خصائص السلامة لكل قناة: إذ يجب توصيل مستشعر السلامة بمدخل F الصحيح فقط، وتوصيل خرج السلامة بمخرج F المناسب ودائرة تم التحقق منها.
في البنية الموزعة، تُدرج حالات انقطاع الشبكة وإزالة الوحدة وعطل القناة وعودة التغذية الكهربائية ضمن خطة الاختبار. ويُعد تغيير عنوان معلمات F أو اسم الجهاز أو تكوين العتاد تغييراً متعلقاً بالسلامة يجب ضبطه. ولا تُلغي التسهيلات التشغيلية، مثل الاستبدال أثناء التشغيل أو إعادة ضبط المعلمات تلقائياً، الحاجة إلى اختبار الوظيفة. وبعد الاستبدال، يجب تأكيد صحة الوحدة وتعيين القنوات ومعلمات F واستجابة عنصر الفصل النهائي.
عدم الخلط بين التحقق وإثبات الصلاحية
يفحص التحقق ما إذا كان الحل قد نُفّذ وفقاً للمتطلبات المكتوبة وقواعد التصميم. وتشمل هذه المرحلة فحص المخططات، وحسابات الاعتمادية، ووثائق مطابقة الأجهزة، ومراجعة البرنامج، وحسابات الزمن، والتتبّع. أما إثبات الصلاحية فيختبر ما إذا كانت الآلة المكتملة تتصرف فعلياً بصورة صحيحة في الاستخدام المقصود. وتُفعَّل عملياً كل وظيفة للإيقاف الطارئ أو الباب الواقي أو التحكم بكلتا اليدين أو الستارة الضوئية أو السرعة الآمنة أو فصل العزم؛ وتُراقَب المخرجات والحركة الخطرة. وتُحاكى الأعطال المتوقعة، مثل عطل قناة واحدة أو التوصيل المتقاطع بين الدوائر أو التصاق نقاط تلامس الكونتاكتور أو فقدان الشبكة أو عودة التغذية الكهربائية، بوسائل ممكنة وآمنة.
تكتسب المراجعة المستقلة أهمية خاصة في الوظائف عالية المخاطر أو المعقدة. وعلى الرغم من فائدة المراجعة الذاتية التي يجريها المصمم، يجب تحديد مسؤولية القبول ضمن تنظيم المشروع من حيث الصلاحيات ودرجة الاستقلالية. وقد يسهم وجود خبير معتمد من TÜV في دعم جودة المراجعة؛ لكن الأدلة تُستمد من نتائج الاختبارات المسجّلة، لا من المسمى المهني للشخص. ويجب توثيق معايرة جهاز القياس وظروف الاختبار ومعيار القبول والقيمة الفعلية وحالات عدم المطابقة والإجراءات التصحيحية في محضر الاختبار نفسه.
قائمة تحقق للاختيار عند الشراء وبدء المشروع
- هل حُدِّدت حدود الآلة ومهام المستخدمين وسيناريوهات الصيانة وسوء الاستخدام المتوقع؟
- هل دُوِّنت الحالة الآمنة وهدف PLr/SIL والحد الأقصى لزمن الاستجابة لكل وظيفة سلامة؟
- هل جرى التحقق من طراز الطلب المختار من SIRIUS 3SK أو SIMATIC F-CPU أو ET 200SP F-I/O بالرجوع إلى الوثائق الحالية؟
- هل أُجريت حسابات السلسلة بأكملها، بما يشمل المستشعر والمنطق والشبكة والخرج والتوقف الميكانيكي؟
- هل جرت مراجعة موضع إعادة الضبط وإعادة التشغيل ومجال الرؤية وإمكانية الوصول ومخاطر الحركة غير المتوقعة؟
- هل فُصل بوضوح بين البيانات القياسية وبيانات السلامة في شاشة التشخيص ووسوم PLC؟
- هل حُدِّدت إجراءات صلاحيات البرمجيات وإدارة الإصدارات والتوقيع والنسخ الاحتياطي وتحليل أثر التغييرات؟
- هل جرى التخطيط لاختبارات FAT وSAT وقياس زمن التوقف وحقن الأعطال واختبارات الإثبات الدورية؟
- هل جرى التحقق من اسم شهادة الخبير ونطاقها والجهة المانحة لها وصلاحيتها الحالية بالرجوع إلى الوثيقة؟
كيف تُحافَظ على الخبرة خلال مرحلة التشغيل؟
لا ينتهي مشروع السلامة بتوقيع محضر القبول. فقد تُبطل تغييرات مثل تعطيل الحواجز الواقية أو تجاوز مستشعر معطّل بتوصيلة جسرية أو استخدام وصفة تشغيل أسرع أو إضافة نطاق وصول جديد لروبوت أو تغيير الحمل، افتراضات المخاطر الأصلية. وينبغي تزويد فريق الصيانة، إلى جانب رمز التشخيص، بطريقة تدخل آمنة وقائمة تحقق للاختبارات من أجل معالجة العطل. وتُحدَّد الفترة بين الاختبارات الدورية استناداً إلى دليل المكوّن وحسابات الاعتمادية وتكرار الاستخدام وإجراءات المنشأة. وإذا أظهرت السجلات اختبارات فاشلة أو تكرار تجاوز وسائل السلامة، فيجب مراجعة تقييم المخاطر وتصميم قابلية الاستخدام بدلاً من الاكتفاء باستبدال الجهاز.
الكفاءة أيضاً نظام حيّ يتطور باستمرار. ويجب متابعة مراجعات المعايير وإصدارات البرمجيات والأجهزة والتهديدات الجديدة والأدوار التنظيمية. وإذا كانت للشهادة مدة صلاحية أو شروط تجديد، فتُعتمد القواعد الحالية للجهة المانحة للشهادة. ولا يقلّ عن تدريب الشخص المكلّف بالمشروع أهميةً امتلاكُه خبرةً في تطبيقات مماثلة ومعرفةً بالمنتج وإدراكُه حدود العمل الذي ينفّذه. وبذلك تتحول عبارة «خبير معتمد» من مجرد وصف تسويقي إلى أسلوب عمل تُدار فيه مبررات القرارات والسلوك الفعلي للآلة استناداً إلى أدلة قابلة للتتبّع.
يُبرز برنامج Siemens Solution Partner أيضاً خبرات الشركاء في مجالات تقنية محددة من خلال نهج قائم على التدريب ومنح الشهادات. لكن تسجيل الشراكة أو التخصص على مستوى الشركة وشهادة TÜV للشخص الذي يصمّم المشروع فعلياً لا يمثلان الدليل نفسه. وعند الشراء، يجب التحقق بصورة منفصلة من تسجيل الشريك الحالي عبر قناة الشركاء الرسمية لدى Siemens، ومن شهادة الشخص المكلّف عبر معلومات نطاق الشهادة وصلاحيتها.
