Општи развој микроелектронике и технологије сензора даје разлог за наду да се побољшање безбедности на раду може постићи доступношћу поузданих, издржљивих, јефтиних и јефтиних детектора присуства и приступа. Овај чланак ће описати сензорску технологију, различите процедуре детекције, услове и ограничења која се примењују на коришћење сензорских система, као и неке завршене студије и рад на стандардизацији у Немачкој.

Критеријуми детектора присуства

Развој и практично тестирање детектора присуства један је од највећих будућих изазова за техничке напоре у побољшању заштите на раду и за заштиту особља уопште. Детектори присуства су сензори који поуздано и са сигурношћу сигнализирају блиско присуство или приближавање особе. Поред тога, ово упозорење мора да се јави брзо како би се акција избегавања, кочење или гашење непокретне машине десили пре него што дође до предвиђеног контакта. Било да су људи велики или мали, без обзира на њихово држање или како су обучени, не би требало да утиче на поузданост сензора. Поред тога, сензор мора имати сигурност у функционисању и бити чврст и јефтин, тако да се може користити у најзахтевнијим условима, као што су на градилиштима и за мобилне апликације, уз минимално одржавање. Сензори морају бити као ваздушни јастук јер не захтевају одржавање и увек спремни. С обзиром на неспремност неких корисника да одржавају оно што могу сматрати небитном опремом, сензори могу остати несервисани годинама. Још једна карактеристика детектора присуства, за коју је много вероватније да ће бити тражена, јесте да они такође откривају препреке осим људских бића и упозоравају оператера на време да предузме одбрамбену акцију, чиме се смањују трошкови поправке и материјална штета. Ово је разлог за инсталирање детектора присуства који не треба потценити.

Детецтор Апплицатионс

Безбројне фаталне незгоде и тешке повреде које изгледају као неизбежни појединачни чинови судбине могу се избећи или минимизирати под условом да детектори присуства постану више прихваћени као превентивна мера у области заштите на раду. Новине пречесто извештавају о овим несрећама: овде је човека ударио утоваривач који се кретао уназад, тамо руковалац није видео некога кога је прегазио предњи точак моторне лопате. Камиони који се крећу уназад по улицама, просторијама предузећа и градилиштима узрок су многих несрећа људи. Данашње потпуно рационализоване компаније више не обезбеђују сувозаче или друге особе које би биле водичи за возача који прати камион. Ови примери незгода у покрету могу се лако проширити на другу мобилну опрему, као што су виљушкари. Међутим, хитно је потребна употреба сензора како би се спречиле незгоде које укључују полумобилну и чисто стационарну опрему. Пример су задње области великих машина за утовар, које је безбедносно особље идентификовало као потенцијално опасне области које би се могле побољшати коришћењем јефтиних сензора. Многе варијације детектора присуства могу се иновативно прилагодити другим возилима и великој мобилној опреми како би се заштитиле од врста несрећа о којима се говори у овом чланку, а које генерално изазивају велику штету и озбиљне, ако не и фаталне повреде.

Тенденција да иновативна решења постану све распрострањенија изгледа обећава да ће детектори присуства постати стандардна безбедносна технологија у другим апликацијама; међутим, нигде то није случај. Пробој, мотивисан несрећама и великом материјалном штетом, очекује се у праћењу иза доставних комбија и тешких камиона и за најиновативније области „нових технологија“ — мобилних роботских машина будућности.

Варијације у областима примене детектора присуства и варијабилност задатака – на пример, толерисање објеката (чак и покретних објеката, под одређеним условима) који припадају пољу детекције и који не би требало да активирају сигнал – захтевају сензоре у којима „ интелигентна” технологија процене подржава механизме функције сензора. Ова технологија, која је предмет будућег развоја, може се разрадити из метода које се ослањају на област вештачке интелигенције (Сцхреибер и Кухн 1995). До данас, ограничена универзалност је озбиљно ограничила тренутну употребу сензора. Постоје светлосне завесе; светлосне траке; контактне простирке; пасивни инфрацрвени сензори; ултразвучни и радарски детектори покрета који користе Доплеров ефекат; сензори који врше мерења протеклог времена ултразвука, радара и светлосних импулса; и ласерски скенери. Нормалне телевизијске камере повезане са мониторима нису укључене у ову листу јер нису детектори присуства. Међутим, укључене су оне камере које се аутоматски активирају када осете присуство особе.

Сензорна технологија

Данас су главна питања сензора (1) оптимизација употребе физичких ефеката (инфрацрвено, светло, ултразвук, радар, итд.) и (2) самонадгледање. Ласерски скенери се интензивно развијају за употребу као навигациони инструменти за мобилне роботе. За ово морају бити решена два задатка, делимично различита у принципу: навигација робота и заштита присутних особа (и материјала или опреме) да их не ударе, прегазе или зграбе (Фреунд, Диеркс и Россман 1993). ). Будући мобилни роботи не могу задржати исту безбедносну филозофију „просторног одвајања робота и особе“ која се стриктно примењује на данашње стационарне индустријске роботе. То значи да се високо цени поуздано функционисање детектора присуства који ће се користити.

Употреба „нове технологије“ често је повезана са проблемима прихватања, и може се претпоставити да је општа употреба мобилних робота који могу да се крећу и хватају, међу људима у биљкама, у јавним саобраћајним површинама, или чак у кућама или рекреативним зонама. , биће прихваћени само ако су опремљени веома развијеним, софистицираним и поузданим детекторима присуства. Спектакуларне незгоде се морају избећи по сваку цену како би се избегло погоршање могућег проблема прихватања. Тренутни ниво издатака за развој ове врсте сензора за заштиту на раду није ни близу узимања овог разматрања. Да бисте уштедели много трошкова, детекторе присуства треба развити и тестирати истовремено са мобилним роботима и навигационим системима, а не накнадно.

У погледу моторних возила, питања безбедности добијају све већи значај. Иновативна безбедност путника у аутомобилима укључује сигурносне појасеве у три тачке, дечја седишта, ваздушне јастуке и систем против блокирања кочница верификован серијским тестовима судара. Ове мере безбедности представљају релативно све већи део трошкова производње. Системи бочних ваздушних јастука и радарских сензора за мерење удаљености до аутомобила испред су еволутивни развој у заштити путника.

Спољна безбедност моторних возила – односно заштита трећих лица – посвећује се повећана пажња. У последње време потребна је бочна заштита, пре свега за камионе, како би се спречила опасност да мотоциклисти, бициклисти и пешаци падну под задње точкове. Следећи логичан корак би био праћење подручја иза великих возила са детекторима присуства и инсталирање опреме за упозорење позади. Ово би имало позитиван споредни ефекат обезбеђивања финансијских средстава потребних за развој, тестирање и стављање на располагање јефтиних сензора за безбедност на раду са максималним перформансама, самоконтролисањем, без одржавања и поуздано функционисањем. Пробни процес који би пратио широку имплементацију сензора или сензорских система би значајно олакшао иновације у другим областима, као што су моторне лопате, тешки утоваривачи и друге велике мобилне машине које раде половину времена током свог рада. Еволуцијски процес од стационарних робота до мобилних робота је додатни пут развоја за детекторе присуства. На пример, побољшања би се могла направити на сензорима који се тренутно користе на покретним роботима за кретање материјала или „фабричким подним тракторима без возача“, који прате фиксне путање и стога имају релативно ниске безбедносне захтеве. Употреба детектора присуства је следећи логичан корак у унапређењу безбедности у области транспорта материјала и путника.

Процедуре детекције

За процену и решавање горе наведених задатака могу се користити различити физички принципи, доступни у вези са електронским методама мерења и самоконтроле и, у извесној мери, рачунарским процедурама високих перформанси. Наизглед без напора и сигуран рад аутоматизованих машина (робота) тако уобичајених у научно-фантастичним филмовима, вероватно ће бити постигнут у стварном свету коришћењем техника снимања и алгоритама за препознавање образаца високих перформанси у комбинацији са методама мерења удаљености аналогним онима запослени код ласерских скенера. Мора се препознати парадоксална ситуација да је све што људима изгледа једноставно тешко за аутомате. На пример, тежак задатак као што је одлично играње шаха (које захтева активност предњег мозга) може се лакше симулирати и извести аутоматизованим машинама него једноставан задатак као што је ходање усправно или извођење координације шака-око и других покрета (посредовано уз помоћ средњи и задњи мозак). Неки од ових принципа, метода и процедура применљивих на сензорске апликације су описани у наставку. Поред ових, постоји велики број специјалних процедура за веома специјалне задатке који делују делом уз комбинацију различитих врста физичких ефеката.

Лагане баријере завесе и решетке. Међу првим детекторима присуства биле су светлосне баријере завесе и решетке. Имају равну геометрију праћења; односно онај ко је прошао баријеру више неће бити откривен. Рука оператера, или присуство алата или делова који се држе у руци оператера, на пример, могу се брзо и поуздано открити помоћу ових уређаја. Они нуде важан допринос безбедности на раду за машине (као што су пресе и машине за штанцање) које захтевају да се материјал ставља ручно. Поузданост мора бити статистички изузетно висока, јер када се рука дохвати само два до три пута у минути, за само неколико година се уради око милион операција. Међусобно самонадгледање компоненти пошиљаоца и пријемника је развијено до тако високог техничког нивоа да представља стандард за све остале процедуре детекције присуства.

Контактне простирке (преклопне простирке). Постоје и пасивни и активни (пумпа) типови електричних и пнеуматских контактних простирки и подова, који су у почетку били коришћени у великом броју у сервисним функцијама (отварачи врата), док их нису заменили детектори покрета. Даљи развој се развија коришћењем детектора присуства у свим врстама опасних зона. На пример, развој аутоматизоване производње са променом функције радника — од управљања машином до стриктно надгледања њене функције — произвео је одговарајућу потражњу за одговарајућим детекторима. Стандардизација ове употребе је добро узнапредовала (ДИН 1995а), а посебна ограничења (распоред, величина, максимално дозвољене „мртве” зоне) су захтевале развој стручности за уградњу у овој области употребе.

Занимљиве могуће употребе контактних простирки се јављају у вези са компјутерски контролисаним вишеструким роботским системима. Оператер мења један или два елемента како би детектор присуства покупио његов или њен тачан положај и обавестио компјутер, који управља системима контроле робота са уграђеним системом за избегавање судара. У једном тесту који је унапредио немачки савезни институт за безбедност (БАУ), подни под са контактним простиркама, који се састоји од малих електричних струњача, изграђен је испод радног простора руке робота за ову сврху (Фреунд, Диеркс и Россман 1993). Овај детектор присуства имао је облик шаховске табле. Одговарајуће активирано поље простирке је саопштило рачунару позицију оператера (слика 1) и када се оператер приближио превише близу роботу, он се удаљио. Без детектора присуства роботски систем не би могао да утврди позицију оператера, а оператер тада не би могао бити заштићен.

Слика 1. Особа (десно) и два робота у рачунарским омотачима

Рефлектори (сензори покрета и детектори присуства). Колико год да су сензори о којима се до сада расправљало вредни, они нису детектори присуства у ширем смислу. Њихова погодност — пре свега из разлога безбедности на раду — за велика возила и велику мобилну опрему претпоставља две важне карактеристике: (1) могућност праћења подручја са једне позиције и (2) функционисање без грешака без потребе за додатним мерама на део—на пример, коришћење рефлекторских уређаја. Откривање присуства особе која улази у посматрано подручје и остаје заустављена док та особа не оде такође подразумева потребу за откривањем особе која стоји апсолутно мирно. Ово разликује такозване сензоре покрета од детектора присуства, барем у вези са мобилном опремом; сензори покрета се скоро увек активирају када се возило покрене.

Сензори покрета. Два основна типа сензора покрета су: (1) „пасивни инфрацрвени сензори“ (ПИРС), који реагују на најмању промену инфрацрвеног снопа у надгледаном подручју (најмањи сноп који се може детектовати је отприлике 10^-9 В са опсегом таласних дужина од приближно 7 до 20 μм); и (2) ултразвучни и микроталасни сензори који користе Доплеров принцип, који одређује карактеристике кретања објекта према променама фреквенције. На пример, Доплеров ефекат повећава фреквенцију трубе локомотиве за посматрача када се приближава, а смањује фреквенцију када се локомотива удаљава. Доплеров ефекат омогућава изградњу релативно једноставних сензора приступа, пошто пријемник треба само да прати фреквенцију сигнала суседних фреквенцијских опсега за појаву Доплерове фреквенције.

Средином 1970-их употреба детектора покрета постала је преовлађујућа у апликацијама услужних функција као што су отварачи врата, заштита од крађе и заштита објеката. За стационарну употребу, откривање особе која се приближава опасном месту било је довољно да се благовремено упозори или искључи машина. Ово је била основа за проучавање погодности детектора покрета за њихову употребу у заштити на раду, посебно помоћу ПИРС (Местер ет ал. 1980). Пошто обучена особа генерално има вишу температуру од околине (глава 34°Ц, руке 31°Ц), откривање особе која се приближава је нешто лакше него откривање неживих предмета. У ограниченој мери, делови машине могу да се крећу у надгледаном подручју без активирања детектора.

Пасивни метод (без предајника) има предности и мане. Предност је у томе што ПИРС не ствара проблеме са буком и електричним смогом. За сигурност од крађе и заштиту предмета, посебно је важно да детектор није лако пронаћи. Сензор који је чисто пријемник, међутим, тешко може да прати сопствену ефикасност, што је од суштинског значаја за безбедност на раду. Један од метода за превазилажење овог недостатка је био тестирање малих модулисаних (5 до 20 Хз) инфрацрвених емитера који су инсталирани у надгледаном подручју и који нису активирали сензор, али чији су снопови регистровани фиксним електронским појачањем подешеним на фреквенцију модулације. Ова модификација га је претворила из "пасивног" сензора у "активни" сензор. На овај начин је такође било могуће проверити геометријску тачност посматраног подручја. Огледала могу имати слепе тачке, а смер пасивног сензора може бити одбачен грубом активношћу у биљци. На слици 2 приказан је распоред теста са ПИРС-ом са надгледаном геометријом у облику плашта пирамиде. Због великог домета, пасивни инфрацрвени сензори се инсталирају, на пример, у пролазе регалних складишта.

Слика 2. Пасивни инфрацрвени сензор као детектор приступа у опасној зони

Све у свему, тестови су показали да детектори покрета нису прикладни за безбедност на раду. Ноћни музејски под се не може поредити са опасним зонама на радном месту.

Детектори ултразвука, радара и светлосних импулса. Сензори који користе принцип пулс/ехо – то јест, мерење протеклог времена ултразвука, радара или светлосних импулса – имају велики потенцијал као детектори присуства. Код ласерских скенера, светлосни импулси могу брзо да се померају (обично на ротациони начин), на пример, хоризонтално, а уз помоћ рачунара може се добити профил удаљености објеката у равни који рефлектују светлост. Ако се, на пример, не тражи само једна линија, већ целокупно оно што се налази испред мобилног робота у области до висине од 2 метра, онда се велике количине података морају обрадити да би се приказала околна област. Будући „идеалан” детектор присуства састојаће се од комбинације следећа два процеса:

1. Биће примењен процес препознавања образаца, који се састоји од камере и рачунара. Ово последње може бити и „неуронска мрежа“.
2. Даље је потребан процес ласерског скенирања за мерење удаљености; ово узима курс у тродимензионалном простору преко више појединачних тачака одабраних процесом препознавања образаца, успостављених да би се добила удаљеност и кретање по брзини и правцу.

Слика 3 приказује, из претходно цитираног БАУ пројекта (Фреунд, Диеркс и Россман 1993), коришћење ласерског скенера на мобилном роботу који такође преузима навигационе задатке (преко снопа који открива правац) и заштиту од судара за објекте у непосредној близини. близина (преко земаљског мерног зрака за детекцију присуства). С обзиром на ове карактеристике, мобилни робот има могућност активна аутоматизована бесплатна вожња (тј. способност заобилажења препрека). Технички, ово се постиже коришћењем угла ротације скенера од 45° према задњој страни са обе стране (на леву и десну страну робота) поред угла од 180° према напред. Ове зраке су повезане са посебним огледалом које делује као светлосна завеса на поду испред мобилног робота (обезбеђујући линију вида са земље). Ако одатле дође ласерска рефлексија, робот се зауставља. Док су ласерски и светлосни скенери сертификовани за употребу у заштити на раду на тржишту, ови детектори присуства имају велики потенцијал за даљи развој.

Слика 3. Мобилни робот са ласерским скенером за навигацију и детекцију присуства

Ултразвучни и радарски сензори, који користе протекло време од сигнала до одговора за одређивање удаљености, мање су захтевни из техничке перспективе и стога се могу производити јефтиније. Сензорска област је у облику штапа и има једну или више мањих бочних палица, које су симетрично распоређене. Брзина ширења сигнала (звук: 330 м/с; електромагнетни талас: 300,000 км/с) одређује потребну брзину електронике која се користи.

Уређаји за упозорење позади. На сајму у Хановеру 1985. године, БАУ је показао резултате почетног пројекта о коришћењу ултразвучних сензора за обезбеђење простора иза великих возила (Лангер и Курфурст 1985). Модел сензорске главе у пуној величини од Полароид™ сензора постављен је на задњи зид камиона за снабдевање. Слика 4 шематски приказује његово функционисање. Велики пречник овог сензора производи мерене области под малим углом (приближно 18°), дугог домета у облику штапа, распоређене једна поред друге и подешене на различите максималне опсеге сигнала. У пракси омогућава постављање било које жељене геометрије која се прати, коју сензори скенирају отприлике четири пута у секунди за присуство или улазак особа. Други демонстрирани системи упозорења за позадину имали су неколико паралелних појединачних сензора.

Слика 4. Распоред мерне главе и надгледана површина на задњој страни камиона

Ова живописна демонстрација имала је велики успех на изложби. Показало се да се осигурање задњег дела великих возила и опреме проучава на многим местима—на пример, од стране специјализованих комитета индустријских трговинских удружења (Беруфсгеноссенсцхафтен), општински осигуравачи од незгода (који су одговорни за комунална возила), државни службеници за надзор индустрије и произвођачи сензора, који су више размишљали о аутомобилима као сервисним возилима (у смислу фокусирања на паркинг системе за заштиту од оштећење каросерије аутомобила). Ад хоц комисија састављена из група за промоцију уређаја за упозоравање на позадину формирана је спонтано и као први задатак је узела припрему листе захтева из перспективе заштите на раду. Прошло је десет година за које време је много разрађено у надзору позади—вероватно најважнији задатак детектора присуства; али велики продор још увек недостаје.

Многи пројекти су спроведени са ултразвучним сензорима—на пример, на дизалицама за сортирање обловине, хидрауличним лопатама, специјалним комуналним возилима и другим комуналним возилима, као и на виљушкарима и утоваривачима (Сцхреибер 1990). Уређаји за упозорење позади су посебно важни за велике машине које праве резервне копије већи део времена. Ултразвучни детектори присуства се користе, на пример, за заштиту специјализованих возила без возача, као што су роботске машине за руковање материјалом. У поређењу са гуменим браницима, ови сензори имају већу област детекције која омогућава кочење пре него што дође до контакта између машине и предмета. Одговарајући сензори за аутомобиле су одговарајући развој и подразумевају знатно мање строге захтеве.

У међувремену, Комитет за техничке стандарде транспортног система ДИН-а разрадио је Стандард 75031, „Уређаји за откривање препрека током вожње уназад“ (ДИН 1995б). Захтеви и тестови су постављени за два опсега: 1.8 м за камионе за снабдевање и 3.0 м — додатна зона упозорења — за веће камионе. Надгледана област је подешена кроз препознавање цилиндричних тест тела. Опсег од 3 метра је такође отприлике граница онога што је тренутно технички могуће, јер ултразвучни сензори морају имати затворене металне мембране, с обзиром на њихове тешке услове рада. Постављају се захтеви за самонадзор сензорског система, јер се потребна праћена геометрија може постићи само са системом од три или више сензора. Слика 5 приказује уређај за упозорење у задњем делу који се састоји од три ултразвучна сензора (Мицросониц ГмбХ 1996). Исто важи и за уређај за обавештавање у кабини возача и врсту сигнала упозорења. Садржај ДИН стандарда 75031 је такође изложен у међународном техничком ИСО извештају ТР 12155, „Комерцијална возила—Уређај за откривање препрека током вожње уназад“ (ИСО 1994). Разни произвођачи сензора развили су прототипове у складу са овим стандардом.

Слика 5. Камион средње величине опремљен уређајем за упозорење позади (Микрозвучна фотографија).

Zakljucak

Од раних 1970-их, неколико институција и произвођача сензора радило је на развоју и успостављању „детектора присуства“. У специјалној примени „уређаја за упозорење позади” постоје ДИН стандард 75031 и ИСО извештај ТР 12155. Тренутно Деутсцхе Пост АГ спроводи велико тестирање. Неколико произвођача сензора је опремило по пет камиона средње величине таквим уређајима. Позитиван исход овог теста је у великој мери у интересу заштите на раду. Као што је наглашено на почетку, детектори присуства у потребном броју представљају велики изазов за сигурносну технологију у многим поменутим областима примене. Због тога морају бити изводљиве по ниској цени ако се штете на опреми, машинама и материјалима и, пре свега, повреде људи, често веома озбиљне, врате у прошлост.

Назад

Управљачки уређаји и уређаји који се користе за изолацију и пребацивање морају се увек разговарати у вези са технички системи, израз који се користи у овом чланку и укључује машине, инсталације и опрему. Сваки технички систем испуњава специфичан и задат практични задатак. Потребни су одговарајући безбедносни уређаји за контролу и укључивање да би овај практични задатак био изводљив или чак могућ у безбедним условима. Такви уређаји се користе за покретање контроле, прекидање или успоравање струје и/или импулса електричне, хидрауличке, пнеуматске и потенцијалне енергије.

Изолација и смањење енергије

Изолациони уређаји се користе за изолацију енергије тако што се искључује довод између извора енергије и техничког система. Уређај за изолацију мора нормално да доведе до недвосмислено утврдљивог стварног прекида напајања енергијом. Искључивање напајања такође треба увек комбиновати са смањењем енергије ускладиштене у свим деловима техничког система. Ако се технички систем напаја са више извора енергије, сви ови водови морају бити у стању да буду поуздано изоловани. Особе обучене за руковање релевантном врстом енергије и које раде на енергетском крају техничког система, користе уређаје за изолацију да би се заштитили од опасности од енергије. Из безбедносних разлога, ове особе ће увек проверавати да у техничком систему не остаје потенцијално опасна енергија – на пример, утврђивањем одсуства електричног потенцијала у случају електричне енергије. Руковање одређеним изолационим уређајима без ризика је могуће само за обучене стручњаке; у таквим случајевима изолациони уређај мора да буде недоступан неовлашћеним лицима. (Погледајте слику 1.)

Слика 1. Принципи електричних и пнеуматских изолационих уређаја

Главни прекидач

Главни прекидач искључује технички систем из напајања. За разлику од изолационог уређаја, њиме могу без опасности да рукују чак и „неенергетски стручњаци“. Главни прекидач се користи за искључивање техничких система који се у датом тренутку не користе ако, рецимо, њихов рад ометају неовлашћена трећа лица. Такође се користи за искључивање у сврхе као што су одржавање, поправка кварова, чишћење, ресетовање и поновно постављање, под условом да се такав рад може обавити без енергије у систему. Наравно, када уређај са главним прекидачем такође поседује карактеристике изолационог уређаја, он такође може преузети и/или делити своју функцију. (Погледајте слику 2.)

Слика 2. Пример илустрације електричних и пнеуматских уређаја мастер-свитцх

Уређај за сигурносно искључење

Сигурносно-искључни уређај не искључује цео технички систем са извора енергије; него уклања енергију из делова система који су критични за одређени оперативни подсистем. Интервенције кратког трајања могу се одредити за оперативне подсистеме – на пример, за подешавање или ресетовање/поновно постављање система, за поправку кварова, за редовно чишћење и за битне и одређене покрете и секвенце функција које су потребне током курса. подешавања, ресетовања/поновног постављања или пробних вожњи. Комплексна производна опрема и постројења се у овим случајевима не могу једноставно искључити главним прекидачем, јер се цео технички систем не може поново покренути тамо где је стао након отклањања квара. Штавише, главни прекидач се ретко налази, у обимнијим техничким системима, на месту где се мора извршити интервенција. Стога је сигурносни уређај за искључивање дужан да испуни низ захтева, као што су:

• Прекида проток енергије поуздано и на начин да опасна кретања или процеси не буду покренути контролним сигналима који су или погрешно унети или погрешно генерисани.
• Инсталира се управо тамо где се морају направити прекиди у опасним зонама оперативних подсистема техничког система. По потреби, инсталација може бити на више места (на пример, на различитим спратовима, у различитим просторијама или на различитим приступним тачкама на машинама или опреми).
• Његов контролни уређај има јасно означену позицију „искључено“ која се региструје само једном након што је проток енергије поуздано прекинут.
• Једном у "искљученом" положају, његов контролни уређај може бити осигуран од поновног покретања без одобрења (а) ако се дотична опасна подручја не могу поуздано надзирати из контролне зоне и (б) ако особе које се налазе у опасној зони не могу саме да виде контролисати уређај лако и стално, или (ц) ако је закључавање/означавање потребно према прописима или процедурама организације.
• Требало би да искључи само једну функционалну јединицу проширеног техничког система, ако су друге функционалне јединице у стању да наставе да раде саме без опасности за особу која интервенише.

Тамо где главни прекидач који се користи у датом техничком систему може да испуни све захтеве уређаја за сигурносно искључење, он такође може преузети ову функцију. Али то ће наравно бити поуздано средство само у врло једноставним техничким системима. (Погледајте слику 3.)

Слика 3. Илустрација елементарних принципа сигурносног растављача

Контролни уређаји за оперативне подсистеме

Управљачки уређаји омогућавају кретање и функционалне секвенце потребне за безбедну имплементацију и контролу оперативних подсистема техничког система. Контролни уређаји за оперативне подсистеме могу бити потребни за подешавање (када се треба извршити пробни рад); за регулацију (када треба отклонити кварове у раду система или када се морају отклонити блокаде); или сврхе обуке (демонстрирање операција). У таквим случајевима, нормалан рад система се не може једноставно поново покренути, јер би особа која је интервенисала била угрожена покретима и процесима изазваним контролним сигналима који су или погрешно унети или погрешно генерисани. Контролна опрема за оперативне подсистеме мора да испуњава следеће захтеве:

• Требало би да омогући безбедно извршавање кретања и процеса потребних за оперативне подсистеме техничког система. На пример, одређени покрети ће се изводити смањеним брзинама, постепено или на нижим нивоима снаге (у зависности од тога шта је прикладно), а процеси се прекидају одмах, по правилу, ако се више не присуствује контролној табли.
• Њене контролне табле треба да буду смештене у просторима где њихов рад не угрожава оператера и са којих су у потпуности видљиви процеси којима се управља.
• Ако је неколико контролних панела који контролишу различите процесе присутно на једној локацији, онда они морају бити јасно означени и распоређени на јасан и разумљив начин.
• Управљачки уређај за оперативне подсистеме треба да постане ефикасан само када је нормалан рад поуздано искључен; то јест, мора се гарантовати да ниједна контролна команда не може ефикасно издати из нормалног рада и надјачати управљачки уређај.
• Неовлашћено коришћење контролног уређаја за оперативне подсистеме требало би да се спречи, на пример, захтевањем употребе посебног кључа или кода за ослобађање дотичне функције. (Погледајте слику 4.)

Слика 4. Покретни уређаји у управљачким уређајима за покретне и стационарне оперативне подсистеме

Прекидач за хитне случајеве

Прекидачи за случај нужде су неопходни тамо где нормалан рад техничких система може да доведе до опасности које ни одговарајући дизајн система ни предузимање одговарајућих безбедносних мера не могу спречити. У оперативним подсистемима, прекидач за случај нужде је често део контролне опреме оперативног подсистема. Када се користи у случају опасности, прекидач за случај нужде спроводи процесе који враћају технички систем у безбедно радно стање што је пре могуће. Што се тиче приоритета безбедности, заштита лица је од примарне важности; спречавање штете на материјалу је секундарно, осим ако оно може да угрози и лица. Прекидач за хитне случајеве мора да испуњава следеће захтеве:

• То мора довести до безбедног рада техничког система што је пре могуће.
• Њена контролна табла мора бити лако препознатљива и постављена и пројектована тако да њоме могу без потешкоћа да управљају угрожене особе, као и да је могу досегнути и други који реагују у хитним случајевима.
• Хитни процеси које покреће не смеју да изазову нове опасности; на пример, не смеју да отпуштају стезне уређаје или да одвајају магнетне држаче или да блокирају сигурносне уређаје.
• Након што је покренут процес хитног прекидача, технички систем не сме бити у могућности да се аутоматски поново покрене ресетовањем контролне табле прекидача за случај нужде. Уместо тога, мора се захтевати свесни унос нове команде за контролу функције. (Погледајте слику 5.)

Слика 5. Илустрација принципа рада централа у хитним прекидачима

Контролни уређај са прекидачем функција

Контролни уређаји са функцијским прекидачем служе за укључивање техничког система у нормалан рад и за покретање, спровођење и прекид кретања и процеса предвиђених за нормалан рад. Уређај за управљање функцијама се користи искључиво у току нормалног рада техничког система, односно током несметаног извршавања свих додељених функција. У складу са тим га користе особе које управљају техничким системом. Контролни уређаји са функцијским прекидачем морају испуњавати следеће захтеве:

• Њихове контролне табле морају бити доступне и лаке за употребу без опасности.
• Њихове контролне табле морају бити јасно и рационално распоређене; на пример, контролна дугмад треба да раде „рационално“ у погледу контролисаних покрета горе и доле, десно и лево. („Рационални“ контролни покрети и одговарајући ефекти могу бити подложни локалним варијацијама и понекад су дефинисани одредбом.)
• Њихове контролне табле морају бити јасно и разумљиво означене, са симболима који су лако разумљиви.
• Процеси који захтевају потпуну пажњу корисника за њихово безбедно извршавање не смеју бити у могућности да буду покренути ни грешком генерисаним контролним сигналима, ни ненамерним радом контролних уређаја који њима управљају. Обрада сигнала централе мора бити на одговарајући начин поуздана, а нехотични рад мора бити спречен одговарајућим дизајном контролног уређаја. (Види слику 6).

Слика 6. Шематски приказ оперативне контролне табле

Прекидачи за надгледање

Прекидачи за надзор спречавају покретање техничког система све док нису испуњени надгледани безбедносни услови и прекидају рад чим се више не испуњава безбедносни услов. Користе се, на пример, за надгледање врата у заштитним одељцима, за проверу исправног положаја заштитника или за осигурање да се не прекорачују ограничења брзине или путање. Прекидачи за надзор морају сходно томе да испуњавају следеће захтеве безбедности и поузданости:

• Расклопни уређај који се користи за потребе надзора мора емитовати заштитни сигнал на посебно поуздан начин; на пример, механички прекидач за надзор може бити дизајниран да аутоматски и са посебном поузданошћу прекида проток сигнала.
• Алат за пребацивање који се користи у сврхе надзора треба да ради на посебно поуздан начин када није испуњен безбедносни услов (нпр. када се клип прекидача за надзор са аутоматским прекидом присиљава механички и аутоматски у положај прекида).
• Прекидач за надзор не сме бити у могућности да се непрописно искључи, барем не ненамерно и не без напора; овај услов може бити испуњен, на пример, механичким, аутоматски контролисаним прекидачем са аутоматским прекидом, када су прекидач и управљачки елемент безбедно монтирани. (Види слику 7).

Слика 7. Шема прекидача са позитивним механичким радом и позитивним искључењем

Сигурносни контролни кругови

Неколико горе описаних сигурносних склопних уређаја не извршавају сигурносну функцију директно, већ емитују сигнал који се затим преноси и обрађује од стране сигурносног управљачког кола и коначно стиже до оних делова техничког система који врше стварну безбедносну функцију. Сигурносно-искључни уређај, на пример, често изазива искључење енергије на критичним тачкама индиректно, док главни прекидач обично директно искључује довод струје у технички систем.

Пошто сигурносни контролни кругови морају поуздано преносити сигурносне сигнале, морају се узети у обзир следећи принципи:

• Сигурност треба да буде загарантована чак и када спољашња енергија недостаје или је недовољна, на пример, током прекида везе или цурења.
• Заштитни сигнали функционишу поузданије прекидом тока сигнала; на пример, сигурносни прекидачи са контактом за отварање или отвореним контактом релеја.
• Заштитна функција појачавача, трансформатора и слично може се постићи поузданије без спољне енергије; такви механизми укључују, на пример, електромагнетне склопне уређаје или вентилационе отворе који су затворени када мирују.
• Не сме се дозволити да спојеви направљени грешком и цурење у сигурносно-контролном колу доводе до погрешних покретања или сметњи за заустављање; посебно у случајевима кратког споја између улазних и излазних водова, цурења уземљења или уземљења.
• Спољашњи утицаји који утичу на систем у мери која не превазилази очекивања корисника не би требало да омета безбедносну функцију сигурносно-контролног кола.

Компоненте које се користе у сигурносним контролним круговима морају да извршавају сигурносну функцију на посебно поуздан начин. Функције компоненти које не испуњавају овај захтев треба да се реализују тако што ће се организовати што је могуће разноврснији вишак и морају се држати под надзором.

Назад

У последњих неколико година микропроцесори играју све већу улогу у области безбедносне технологије. Пошто су читави рачунари (тј. централна процесорска јединица, меморија и периферне компоненте) сада доступни у једној компоненти као „рачунари са једним чипом“, микропроцесорска технологија се користи не само у контроли сложених машина, већ иу заштити релативно једноставног дизајна. (нпр. светлосне решетке, уређаји за управљање са две руке и сигурносне ивице). Софтвер који контролише ове системе обухвата између хиљаду и неколико десетина хиљада појединачних команди и обично се састоји од неколико стотина програмских грана. Програми раде у реалном времену и углавном су написани на асемблерском језику програмера.

Увођење компјутерски контролисаних система у сферу безбедносне технологије праћено је у читавој техничкој опреми великих размера не само скупим истраживачким и развојним пројектима већ и значајним ограничењима усмереним на повећање безбедности. (Ваздухопловна технологија, војна технологија и технологија атомске енергије могу се овде навести као примери примене великих размера.) Колективно поље индустријске масовне производње до сада је третирано само на веома ограничен начин. Ово је делимично из разлога што брзи циклуси иновација карактеристични за дизајн индустријских машина отежавају преношење, на било који осим веома ограничен начин, таквог знања које може бити изведено из истраживачких пројеката који се баве коначним тестирањем великих размера. сигурносни уређаји. Ово чини развој брзих и јефтиних процедура процене жељом (Реинерт и Реусс 1991).

Овај чланак прво испитује машине и објекте у којима рачунарски системи тренутно обављају безбедносне задатке, користећи примере незгода које се претежно дешавају у области заштите машина да би се приказала посебна улога коју рачунари имају у безбедносној технологији. Ове незгоде дају неке назнаке о томе које мере предострожности се морају предузети како компјутерски контролисана безбедносна опрема која тренутно долази у све ширу употребу не би довела до пораста броја незгода. Завршни део чланка скицира процедуру која ће омогућити да се чак и мали рачунарски системи доведу на одговарајући ниво техничке безбедности уз оправдане трошкове иу прихватљивом временском периоду. Принципи наведени у овом завршном делу се тренутно уводе у међународне процедуре стандардизације и имаће импликације на све области безбедносне технологије у којима рачунари налазе примену.

Примери употребе софтвера и рачунара у области заштите машина

Следећа четири примера јасно показују да софтвер и рачунари тренутно све више улазе у апликације које се односе на безбедност у комерцијалном домену.

Инсталације за личну сигнализацију хитних случајева састоје се, по правилу, од централне пријемне станице и већег броја личних уређаја за хитну сигнализацију. Уређаје носе особе које саме раде на лицу места. Ако се неко од ових особа које раде сами нађу у ванредној ситуацији, могу помоћу уређаја да активирају аларм путем радио сигнала у централној пријемној станици. Такав окидач аларма који зависи од воље такође може бити допуњен механизмом за окидање независно од воље који се активира сензорима уграђеним у личне уређаје за хитне случајеве. И појединачним уређајима и централном пријемном станицом често управљају микрорачунари. Могуће је да неуспјех одређених појединачних функција уграђеног рачунара може довести, у хитној ситуацији, до неуспјеха да се активира аларм. Стога се морају предузети мере предострожности да би се приметио и поправио такав губитак функције на време.

Штампарске машине које се данас користе за штампање часописа су велике машине. Папирне мреже се обично припремају у посебној машини на такав начин да се омогући несметан прелазак на нову ролну папира. Одштампане странице се савијају помоћу машине за савијање и затим се обрађују кроз ланац даљих машина. Ово резултира палетама напуњеним потпуно ушивеним магацима. Иако су таква постројења аутоматизована, постоје две тачке на којима се морају извршити ручне интервенције: (1) у увлачењу навоја на стазама папира и (2) у уклањању препрека изазваних тргањем папира на опасним местима на ротирајућим ваљцима. Из тог разлога, контролна технологија мора да обезбеди смањену брзину рада или режим џогинга ограничен на путању или време док се притискају подешавају. Због сложених процедура управљања, свака штампарска станица мора бити опремљена сопственим програмабилним логичким контролером. Сваки квар који се догоди у контроли штампарије док су заштитне решетке отворене мора се спречити да доведе или до неочекиваног покретања заустављене машине или до рада преко одговарајуће смањене брзине.

У великим фабрикама и складиштима, аутоматизована вођена роботска возила без возача крећу се по посебно обележеним стазама. Овим колосецима могу у било ком тренутку ходати особе, или материјали и опрема могу бити нехотице остављени на колосецима, јер нису структурно одвојени од других саобраћајница. Из тог разлога, мора се користити нека врста опреме за спречавање судара како би се осигурало да ће се возило зауставити пре него што дође до опасног судара са особом или објектом. У новијим применама, спречавање судара се врши помоћу ултразвучних или ласерских светлосних скенера који се користе у комбинацији са сигурносним браником. Пошто ови системи раде под контролом компјутера, могуће је конфигурисати неколико сталних зона детекције тако да возило може да модификује своју реакцију у зависности од специфичне зоне детекције у којој се особа налази. Кварови на заштитном уређају не смеју довести до опасног судара са особом.

Гиљотине уређаја за контролу сечења папира се користе за пресовање, а затим сечење дебелих наслаганих папира. Покрећу се помоћу уређаја за управљање са две руке. Корисник мора посегнути у опасну зону машине након сваког сечења. Нематеријална заштита, обично светлосна решетка, користи се у комбинацији са уређајем за управљање са две руке и безбедним системом контроле машине како би се спречиле повреде када се папир убацује током операције сечења. Скоро све веће, модерније гиљотине које се данас користе контролишу вишеканални микрорачунарски системи. И рад са две руке и светлосна мрежа такође морају бити загарантовани да безбедно функционишу.

Несреће са компјутерски контролисаним системима

У скоро свим областима индустријске примене пријављују се незгоде са софтвером и компјутерима (Неуманн 1994). У већини случајева, кварови на рачунару не доводе до повреда особа. Такви пропусти се у сваком случају објављују само када су од општег јавног интереса. То значи да случајеви квара или несреће у вези са рачунарима и софтвером у којима се ради о повредама лица чине релативно висок проценат свих објављених случајева. Нажалост, несреће које не изазивају велику сензацију у јавности се не истражују у погледу њихових узрока са сасвим истим интензитетом као што су то значајније несреће, обично у великим постројењима. Из тог разлога, примери који следе односе се на четири описа кварова или незгода типичних за компјутерски контролисане системе ван области заштите машина, који се користе да би се сугерисало шта треба узети у обзир када се доносе одлуке о безбедносној технологији.

Несреће узроковане случајним кваровима у хардверу

Следећи квар је узрокован концентрацијом насумичних кварова у хардверу у комбинацији са грешком у програмирању: Реактор се прегрејао у хемијском постројењу, након чега су се отворили вентили за ослобађање, омогућавајући да се садржај реактора испусти у атмосферу. Ова незгода се догодила кратко време након што је дато упозорење да је ниво уља у мењачу пренизак. Пажљиво истраживање несреће показало је да је убрзо након што је катализатор покренуо реакцију у реактору — услед чега би реактор захтевао више хлађења — компјутер је, на основу извештаја о ниским нивоима уља у мењачу, замрзнуо све величине под његовом контролом на фиксној вредности. Ово је задржало проток хладне воде на прениском нивоу и као резултат тога реактор се прегрејао. Даља истрага је показала да је индикација ниског нивоа уља била сигнализирана неисправном компонентом.

Софтвер је реаговао у складу са спецификацијом активирањем аларма и фиксирањем свих оперативних варијабли. Ово је била последица ХАЗОП (анализа опасности и операбилности) студије (Кновлтон 1986) урађене пре догађаја, која је захтевала да се све контролисане варијабле не мењају у случају квара. Пошто програмер није био детаљно упознат са процедуром, овај захтев је протумачен тако да се контролисани актуатори (у овом случају регулациони вентили) не мењају; није се обраћала пажња на могућност пораста температуре. Програмер није узео у обзир да би се систем након што је примио погрешан сигнал могао наћи у динамичној ситуацији типа која захтева активну интервенцију рачунара како би се спречио квар. Ситуација која је довела до несреће била је тако мало вероватна, штавише, да није била детаљно анализирана у студији ХАЗОП (Левенсон 1986). Овај пример пружа прелазак на другу категорију узрока софтверских и рачунарских незгода. То су систематски кварови који су у систему од почетка, али се манифестују само у одређеним врло специфичним ситуацијама које програмер није узео у обзир.

Несреће узроковане кваровима у раду

Током теренског тестирања током завршне инспекције робота, један техничар је позајмио касету суседног робота и заменио је другом, а да није обавестио свог колегу да је то урадио. По повратку на радно место, колега је убацио погрешну касету. Пошто је стајао поред робота и очекивао од њега одређени редослед покрета - секвенцу која је испала другачије због размењеног програма - дошло је до судара између робота и човека. Ова незгода описује класичан пример оперативног квара. Улога оваквих кварова у кваровима и незгодама тренутно је све већа због све веће сложености у примени компјутерски контролисаних сигурносних механизама.

Несреће узроковане систематским кваровима у хардверу или софтверу

Торпедо са бојевом главом требало је да буде испаљено за потребе обуке, са ратног брода на отвореном мору. Због квара на погонском апарату торпедо је остало у торпедној цеви. Капетан је одлучио да се врати у матичну луку како би спасио торпедо. Убрзо након што је брод почео да се враћа кући, торпедо је експлодирало. Анализа несреће открила је да су програмери торпеда били обавезни да у торпедо уграде механизам који је направљен да спречи његово враћање на лансирну рампу након испаљивања и на тај начин уништи брод који га је лансирао. Механизам изабран за ово је био следећи: Након испаљивања торпеда извршена је провера, помоћу инерцијалног навигационог система, да се види да ли се његов курс променио за 180°. Чим је торпедо осетило да се окренуло за 180°, торпедо је одмах детонирало, наводно на безбедној удаљености од лансирне рампе. Овај механизам детекције активиран је у случају торпеда који није био правилно лансиран, што је резултирало да је торпедо експлодирало након што је брод променио курс за 180°. Ово је типичан пример несреће која се догодила због грешке у спецификацијама. Захтев у спецификацијама да торпедо не треба да уништи сопствени брод у случају промене курса није довољно прецизно формулисан; мера предострожности је стога била погрешно програмирана. Грешка је постала очигледна само у одређеној ситуацији, коју програмер није узео у обзир као могућност.

14. септембра 1993. године, авион Луфтхансе Аирбус А 320 срушио се приликом слетања у Варшаву (слика 1). Пажљива истрага несреће показала је да су модификације у логици слетања на компјутеру на броду које су направљене након несреће са Лауда Аир Боеинг 767 1991. делимично одговорне за ово несрећно слетање. Оно што се догодило у несрећи 1991. је да је отклон потиска, који преусмерава део моторних гасова тако да закочи авион приликом слетања, активирао још у ваздуху, приморавајући машину да неконтролисано зарони носом. Из тог разлога, у Ербас машине је уграђено електронско закључавање отклона потиска. Овај механизам је омогућио да отклон потиска ступи на снагу тек након што су сензори на оба сета стајног трапа сигнализирали компресију амортизера под притиском точкова који додирују доле. На основу нетачних информација, пилоти авиона у Варшави су предвидели јак бочни ветар.

Слика 1. Луфтханза Ербас након несреће у Варшави 1993

Из тог разлога су унели машину под благим нагибом и Ербас је долетео само десним точком, остављајући леви лежај мањи од пуне тежине. Због електронског закључавања отклона потиска, компјутер на броду је одбио пилоту у трајању од девет секунди такве маневре који би омогућили да авион безбедно слети упркос неповољним околностима. Ова несрећа врло јасно показује да модификације у компјутерским системима могу довести до нових и опасних ситуација ако се опсег њихових могућих последица не размотри унапред.

Следећи пример квара такође показује катастрофалне ефекте које модификација једне једине команде може имати у рачунарским системима. Садржај алкохола у крви се утврђује хемијским тестовима помоћу бистрог крвног серума из којег су крвна зрнца претходно центрифугирана. Због тога је садржај алкохола у серуму већи (фактор 1.2) од гушће пуне крви. Из тог разлога се вредности алкохола у серуму морају поделити са фактором 1.2 да би се утврдиле правно и медицински критичне бројке на хиљаду. У међулабораторијском испитивању одржаном 1984. године, вредности алкохола у крви утврђене идентичним тестовима обављеним у различитим истраживачким институцијама коришћењем серума требало је да буду међусобно упоређене. Пошто је у питању била само поређење, команда за дељење са 1.2 је такође избрисана из програма у једној од институција за време трајања експеримента. Након што се међулабораторијски тест завршио, на овом месту је у програм грешком уведена команда за множење са 1.2. Као резултат тога, између августа 1,500. и марта 1984. израчунато је отприлике 1985 нетачних вредности делова на хиљаду. Ова грешка је била критична за професионалне каријере возача камиона са нивоом алкохола у крви између 1.0 и 1.3 промила, пошто је законска казна која подразумева одузимање возачке дозволе на дужи период последица вредности од 1.3 промила.

Несреће узроковане утицајима радних напрезања или стресова околине

Као последица поремећаја изазваног сакупљањем отпада у ефективном делу ЦНЦ (компјутерске нумеричке контроле) машине за пробијање и грицкање, корисник је ставио на снагу „програмирано заустављање“. Док је покушавао рукама да уклони отпад, потисник машине је почео да се креће упркос програмираном заустављању и тешко је повредио корисника. Анализа удеса показала је да није реч о грешци у програму. Неочекивано покретање није могло да се репродукује. Сличне неправилности су уочене у прошлости на другим машинама истог типа. Чини се да је могуће закључити из њих да је несрећа морала бити узрокована електромагнетним сметњама. Сличне незгоде са индустријским роботима пријављују се из Јапана (Неуманн 1987).

Квар у свемирској сонди Воиагер 2 18. јануара 1986. чини још јаснијим утицај стресова околине на компјутерски контролисане системе. Шест дана пре најближег приближавања Урану, велика поља црно-белих линија прекрила су слике са Воиагера 2. Прецизна анализа је показала да је један бит у командној речи подсистема података о лету изазвао квар, посматрано као слике су компримоване у сонди. Овај бит је највероватније био избачен са места у програмској меморији услед удара космичке честице. Пренос компресованих фотографија из сонде без грешака извршен је само два дана касније, коришћењем програма замене који је способан да заобиђе неуспелу меморијску тачку (Лаесер, МцЛаугхлин и Волфф 1987).

Резиме приказаних незгода

Анализиране незгоде показују да одређени ризици који се могу занемарити у условима једноставне, електромеханичке технологије, добијају на значају када се користе рачунари. Рачунари дозвољавају обраду сложених сигурносних функција специфичних за ситуацију. Недвосмислена, без грешака, потпуна и тестирана спецификација свих безбедносних функција постаје из тог разлога посебно важна. Грешке у спецификацијама је тешко открити и често су узрок несрећа у сложеним системима. Контроле које се слободно могу програмирати се обично уводе са намером да се флексибилно и брзо реагује на тржиште које се мења. Модификације, међутим, – посебно у сложеним системима – имају нежељене ефекте које је тешко предвидети. Због тога све модификације морају бити подвргнуте строго формалном управљању процедуром промене у којој ће јасно одвајање безбедносних функција од делимичних система који нису релевантни за безбедност помоћи да се последице модификација за безбедносну технологију лако прегледају.

Рачунари раде са ниским нивоом електричне енергије. Због тога су подложни сметњама од спољашњих извора зрачења. Пошто модификација једног сигнала међу милионима може довести до квара, вреди обратити посебну пажњу на тему електромагнетне компатибилности у вези са рачунарима.

Сервисирање компјутерски контролисаних система тренутно постаје све сложеније и самим тим нејасније. Софтверска ергономија корисничког и конфигурационог софтвера стога постаје занимљивија са становишта безбедносне технологије.

Ниједан рачунарски систем није 100% тестиран. Једноставан контролни механизам са 32 бинарна улазна порта и 1,000 различитих софтверских путања захтева 4.3 × 10¹² тестови за потпуну проверу. Са брзином од 100 извршених и процењених тестова у секунди, комплетан тест би трајао 1,362 године.

Процедуре и мере за унапређење компјутерски контролисаних сигурносних уређаја

У последњих 10 година развијене су процедуре које омогућавају савладавање специфичних безбедносних изазова у вези са рачунарима. Ове процедуре се односе на грешке рачунара описане у овом одељку. Описани примери софтвера и рачунара у заштити машина и анализирани удеси показују да су обим оштећења, а самим тим и ризик укључен у различите примене, изузетно променљив. Стога је јасно да се потребне мере предострожности за побољшање рачунара и софтвера који се користе у безбедносној технологији треба успоставити у односу на ризик.

Слика 2 приказује квалитативну процедуру у којој се неопходно смањење ризика које се може постићи коришћењем сигурносних система може одредити независно од обима и учесталости настанка штете (Белл и Реинерт 1992). Врсте кварова у рачунарским системима анализиране у одељку „Незгоде са компјутерски контролисаним системима” (горе) могу се довести у везу са такозваним нивоима интегритета безбедности – односно техничким средствима за смањење ризика.

Слика 2. Квалитативна процедура за одређивање ризика

Слика 3 јасно показује да ефикасност мера предузетих, у сваком датом случају, за смањење грешака у софтверу и рачунарима треба да расте са повећањем ризика (ДИН 1994; ИЕЦ 1993).

Слика 3, Ефикасност мера предострожности предузетих против грешака независно од ризика

Анализа горе скицираних незгода показује да је неуспех компјутерски контролисаних заштитних механизама узрокован не само случајним грешкама компоненти, већ и посебним условима рада које програмер није успео да узме у обзир. Не одмах очигледне последице измена програма направљених током одржавања система представљају даљи извор грешака. Из тога произилази да у сигурносним системима контролисаним микропроцесорима може доћи до кварова који, иако настали током развоја система, могу довести до опасне ситуације само током рада. Стога се морају предузети мере предострожности против таквих кварова док су системи везани за безбедност у фази развоја. Ове такозване мере за избегавање отказа морају се предузети не само током фазе концепта, већ иу процесу развоја, инсталације и модификације. Одређени кварови се могу избећи ако се открију и исправе током овог процеса (ДИН 1990).

Као што последња описана незгода јасно показује, квар једног транзистора може довести до техничког квара веома сложене аутоматизоване опреме. Пошто се свако појединачно коло састоји од много хиљада транзистора и других компоненти, морају се предузети бројне мере за избегавање кварова да би се препознали такви кварови који се појаве у раду и да би се покренула одговарајућа реакција у рачунарском систему. Слика 4 описује типове кварова у програмабилним електронским системима, као и примере мера предострожности које се могу предузети да би се избегли и контролисали кварови у рачунарским системима (ДИН 1990; ИЕЦ 1992).

Слика 4. Примери мера предострожности за контролу и избегавање грешака у рачунарским системима

Могућности и перспективе програмабилних електронских система у безбедносној технологији

Савремене машине и постројења постају све сложенији и морају да постижу све свеобухватније задатке у све краћим временским периодима. Из тог разлога, компјутерски системи су преузели скоро све области индустрије од средине 1970-их. Само ово повећање сложености значајно је допринело растућим трошковима који су укључени у побољшање безбедносне технологије у таквим системима. Иако софтвер и рачунари представљају велики изазов за безбедност на радном месту, они такође омогућавају имплементацију нових система који не дозвољавају грешке у области безбедносне технологије.

Смешни, али поучан стих Ернста Јандла помоћи ће да се објасни шта се подразумева под појмом погодан за грешке. „Лицхтунг: Манцхе меинен лецхтс унд ринкс канн ман ницхт велвецхсерн, верцх еин Иллтум“. („Дилекција: многи верују да се светлост и рефт не могу разумети, шта елол“.) Упркос размени писама r l, ову фразу лако разуме нормалан одрасли човек. Чак и неко ко слабо говори енглески језик може га превести на енглески. Задатак је, међутим, скоро немогућ за компјутер за превођење самостално.

Овај пример показује да људско биће може да реагује на начин који је много лакши за грешке него што то може компјутерски језик. То значи да људи, као и сва друга жива бића, могу толерисати неуспехе упућивањем на искуство. Ако се погледају машине које се данас користе, може се видети да већина машина кажњава грешке корисника не незгодом, већ смањењем производње. Ово својство доводи до манипулације или избегавања заштитних мера. Савремена компјутерска технологија ставља на располагање системе безбедности на раду који могу да реагују интелигентно — то јест, на модификован начин. Овакви системи стога омогућавају начин понашања који је погодан за грешке у новим машинама. Они пре свега упозоравају кориснике приликом погрешног рада и искључују машину само када је то једини начин да се избегне несрећа. Анализа незгода показује да у овој области постоји значајан потенцијал за смањење незгода (Реинерт и Реусс 1991).

Назад

Хибридни аутоматизовани систем (ХАС) има за циљ да интегрише могућности вештачки интелигентних машина (базираних на рачунарској технологији) са капацитетима људи који са тим машинама ступају у интеракцију у току својих радних активности. Главни проблеми коришћења ХАС-а односе се на то како би људски и машински подсистеми требало да буду дизајнирани да би се на најбољи начин искористили знања и вештине оба дела хибридног система, и како људски оператери и машинске компоненте треба да интерагују једни са другима. да осигурају да се њихове функције допуњују. Многи хибридни аутоматизовани системи су еволуирали као производи примене савремених методологија заснованих на информацијама и контроли за аутоматизацију и интегрисање различитих функција често сложених технолошких система. ХАС је првобитно идентификован са увођењем компјутерски заснованих система који се користе у пројектовању и раду система контроле у ​​реалном времену за нуклеарне енергетске реакторе, за постројења за хемијску прераду и за технологију производње дискретних делова. ХАС се сада такође може наћи у многим услужним индустријама, као што су контрола ваздушног саобраћаја и процедуре за навигацију авиона у области цивилног ваздухопловства, као и у дизајну и употреби интелигентних система за навигацију возила и аутопутева у друмском саобраћају.

Са континуираним напретком у аутоматизацији заснованој на компјутерима, природа људских задатака у савременим технолошким системима се помера са оних који захтевају перцептивно-моторичке вештине на оне који захтевају когнитивне активности, које су потребне за решавање проблема, за доношење одлука у праћењу система и за послове надзорне контроле. На пример, људски оператери у компјутерски интегрисаним производним системима првенствено делују као системски монитори, решавачи проблема и доносиоци одлука. Когнитивне активности људског супервизора у било ком ХАС окружењу су (1) планирање шта треба да се уради за одређени временски период, (2) осмишљавање процедура (или корака) за постизање скупа планираних циљева, (3) праћење напретка (технолошких) процеса, (4) „подучавање“ система преко рачунара са интеракцијом са људима, (5) интервенисање ако се систем понаша ненормално или ако се промене приоритети контроле и (6) учење путем повратних информација из система о утицају надзорне радње (Шеридан 1987).

Дизајн хибридног система

Интеракције човек-машина у ХАС-у укључују коришћење динамичких комуникацијских петљи између људских оператера и интелигентних машина — процес који укључује детекцију и обраду информација и иницирање и извршење контролних задатака и доношење одлука — у оквиру дате структуре алокације функција између људи и машине. У најмању руку, интеракције између људи и аутоматизације треба да одражавају високу сложеност хибридних аутоматизованих система, као и релевантне карактеристике људских оператера и захтеве задатака. Стога се хибридни аутоматизовани систем може формално дефинисати као петоструки у следећој формули:

ХАС = (Т, У, Ц, Е, И)

где T = захтеви задатка (физички и когнитивни); U = карактеристике корисника (физичке и когнитивне); C = карактеристике аутоматизације (хардвер и софтвер, укључујући рачунарске интерфејсе); E = окружење система; I = скуп интеракција између горе наведених елемената.

Скуп интеракција I оличава све могуће интеракције између T, U C in E без обзира на њихову природу или снагу удруживања. На пример, једна од могућих интеракција може укључивати однос података ускладиштених у меморији рачунара са одговарајућим знањем, ако га има, људског оператера. Интеракције I могу бити елементарне (тј. ограничене на асоцијацију један на један) или сложене, као што би укључивале интеракције између људског оператера, одређеног софтвера који се користи за постизање жељеног задатка и доступног физичког интерфејса са рачунаром.

Дизајнери многих хибридних аутоматизованих система фокусирају се првенствено на компјутерски потпомогнуту интеграцију софистицираних машина и друге опреме као делова компјутерски засноване технологије, ретко обраћајући велику пажњу на превасходну потребу за ефикасном људском интеграцијом унутар таквих система. Стога, у овом тренутку, многи компјутерски интегрисани (технолошки) системи нису у потпуности компатибилни са инхерентним способностима људских оператера као што је изражено вештинама и знањем неопходним за ефикасну контролу и праћење ових система. Таква некомпатибилност настаје на свим нивоима људског, машинског и човек-машинског функционисања и може се дефинисати у оквиру појединца и целе организације или објекта. На пример, проблеми интеграције људи и технологије у напредна производна предузећа јављају се у раној фази пројектовања ХАС-а. Ови проблеми се могу концептуализовати коришћењем следећег модела системске интеграције комплексности интеракција, I, између дизајнера система, D, људски оператери, Hили потенцијални корисници система и технологија, T:

ја (Х, Т) = Ф [ И (Х, Д), И (Д, Т)]

где I означава релевантне интеракције које се одвијају у датој структури ХАС-а, док F указује на функционалне односе између дизајнера, људских оператера и технологије.

Горе наведени модел интеграције система наглашава чињеницу да су интеракције између корисника и технологије одређене исходом интеграције две раније интеракције – наиме, (1) оне између ХАС дизајнера и потенцијалних корисника и (2) оне између дизајнера. и ХАС технологија (на нивоу машина и њихове интеграције). Треба напоменути да иако типично постоје јаке интеракције између дизајнера и технологије, може се наћи само неколико примера једнако јаких међусобних односа између дизајнера и људских оператера.

Може се тврдити да чак иу најаутоматизованијим системима, људска улога остаје кључна за успешан рад система на оперативном нивоу. Баинбридге (1983) је идентификовао скуп проблема релевантних за рад ХАС-а који су последица природе саме аутоматизације, као што следи:

1. Оператори „изван контролне петље“. Људски оператери су присутни у систему да врше контролу када је то потребно, али тиме што су „изван контролне петље“ не успевају да задрже мануелне вештине и дугорочно знање о систему који су често потребни у случају нужде.
2. Застарела „ментална слика“. Људски оператери можда неће моћи брзо да реагују на промене у понашању система ако нису пажљиво пратили догађаје његовог рада. Штавише, знање оператера или ментална слика о функционисању система могу бити неадекватни за иницирање или упражњавање потребних одговора.
3. Нестају генерације вештина. Нови оператери можда неће моћи да стекну довољно знања о компјутеризованом систему стеченог кроз искуство и стога неће моћи да врше ефективну контролу када је то потребно.
4. Ауторитет аутоматике. Ако је компјутеризовани систем имплементиран зато што може да обавља тражене задатке боље од људског оператера, поставља се питање „На основу чега оператер треба да одлучи да аутоматизовани системи доносе исправне или нетачне одлуке?“
5. Појава нових врста „људских грешака” услед аутоматизације. Аутоматизовани системи доводе до нових врста грешака и, последично, незгода које се не могу анализирати у оквиру традиционалних техника анализе.

Алокација задатака

Једно од важних питања за ХАС дизајн је да се одреди колико и које функције или одговорности треба доделити људским оператерима, а које и колико компјутерима. Генерално, постоје три основне класе проблема алокације задатака које треба узети у обзир: (1) алокација задатака човек-супервизор-рачунар, (2) алокација задатака човек-људи и (3) алокација задатака надзорни рачунар-рачунар. У идеалном случају, одлуке о алокацији треба да се доносе кроз неку структурирану процедуру алокације пре него што се започне дизајн основног система. Нажалост, такав систематски процес је ретко могућ, јер функције које ће се доделити могу или захтевати даље испитивање или се морају спровести интерактивно између компоненти људског и машинског система – то јест, применом парадигме надзорне контроле. Алокација задатака у хибридним аутоматизованим системима треба да се фокусира на обим људских и компјутерских надзорних одговорности и треба да узме у обзир природу интеракције између људског оператера и компјутеризованих система за подршку одлучивању. Такође треба узети у обзир средства за пренос информација између машина и интерфејса за унос-излаз људи и компатибилност софтвера са људским когнитивним способностима решавања проблема.

У традиционалним приступима дизајну и управљању хибридним аутоматизованим системима, радници су сматрани детерминистичким улазно-излазним системима и постојала је тенденција да се занемари телеолошка природа људског понашања – то јест, понашање усмерено ка циљу које се ослања на стицање релевантне информације и избор циљева (Гоодстеин ет ал. 1988). Да би био успешан, дизајн и управљање напредним хибридним аутоматизованим системима морају бити засновани на опису људских менталних функција потребних за одређени задатак. Приступ „когнитивног инжењеринга“ (описан даље у наставку) предлаже да системи човек-машина (хибридни) треба да буду осмишљени, пројектовани, анализирани и процењени у смислу људских менталних процеса (тј., ментални модел оператера адаптивних система се узима у обзир рачун). Следећи су захтеви приступа пројектовању и раду ХАС-а усмереног на човека како их је формулисао Цорбетт (1988):

1. Компатибилност. Рад система не би требало да захтева вештине које нису повезане са постојећим вештинама, али би требало да омогући развој постојећих вештина. Људски оператер треба да унесе и прими информације које су компатибилне са конвенционалном праксом како би интерфејс био у складу са претходним знањем и вештином корисника.
2. провидност. Не може се контролисати систем без разумевања. Због тога, људски оператер мора бити у стању да „види“ унутрашње процесе контролног софтвера система да би учење било олакшано. Транспарентни систем олакшава корисницима да изграде интерни модел функција одлучивања и контроле које систем може да обавља.
3. Минимални шок. Систем не би требало да ради ништа што оператери сматрају неочекиваним у светлу информација које су им доступне, са детаљима о тренутном стању система.
4. Контрола поремећаја. Неизвесни задаци (као што је дефинисано анализом структуре избора) треба да буду под контролом човека оператера уз компјутерску подршку за доношење одлука.
5. Погрешивост. Имплицитне вештине и знања људских оператера не би требало да буду дизајниране ван система. Оператери никада не би требало да буду доведени у позицију да беспомоћно гледају како софтвер усмерава погрешну операцију.
6. Реверзибилност грешке. Софтвер би требало да обезбеди довољно информација за пренос информација како би обавестио човека-оператера о вероватним последицама одређене операције или стратегије.
7. Оперативна флексибилност. Систем треба да понуди људским оператерима слободу избора захтева и ограничења ресурса мењањем оперативних стратегија без губљења подршке софтвера за контролу.

Инжењеринг когнитивних људских фактора

Инжењеринг когнитивних људских фактора се фокусира на то како људски оператери доносе одлуке на радном месту, решавају проблеме, формулишу планове и уче нове вештине (Холлнагел и Воодс 1983). Улоге људских оператера који функционишу у било којој ХАС могу се класификовати коришћењем Расмусенове шеме (1983) у три главне категорије:

1. Понашање засновано на вештинама је сензорно-моторичка изведба која се изводи током радњи или активности које се одвијају без свесне контроле као глатки, аутоматизовани и високо интегрисани обрасци понашања. Људске активности које спадају у ову категорију сматрају се низом вештих радњи састављених за дату ситуацију. Понашање засновано на вештини је стога израз мање или више сачуваних образаца понашања или унапред програмираних инструкција у просторно-временском домену.
2. Понашање засновано на правилима је циљно оријентисана категорија перформанси структурисана контролом унапред преко ускладиштеног правила или процедуре—то јест, уређена изведба која омогућава састављање низа потпрограма у познатој радној ситуацији. Правило се обично бира из претходних искустава и одражава функционална својства која ограничавају понашање околине. Учинак заснован на правилима је заснован на експлицитном знању у погледу примене релевантних правила. Скуп података о одлуци састоји се од референци за препознавање и идентификацију стања, догађаја или ситуација.
3. Понашање засновано на знању је категорија циљано контролисане перформансе, у којој је циљ експлицитно формулисан на основу познавања околине и циљева особе. Унутрашња структура система представљена је „менталним моделом“. Овакво понашање омогућава развој и тестирање различитих планова под непознатим и, према томе, неизвесним контролним условима, и потребно је када су вештине или правила или недоступни или неадекватни, тако да се уместо тога мора тражити решавање проблема и планирање.

У дизајну и управљању ХАС-ом треба узети у обзир когнитивне карактеристике радника како би се осигурала компатибилност рада система са интерним моделом радника који описује његове функције. Сходно томе, ниво описа система треба да се помери са аспекта људског функционисања заснованог на вештинама на аспекте засноване на правилима и знању, а одговарајуће методе когнитивне анализе задатака треба користити за идентификацију оператеровог модела система. Повезано питање у развоју ХАС-а је дизајн средстава за пренос информација између људског оператера и компоненти аутоматизованог система, како на физичком тако и на когнитивном нивоу. Такав пренос информација треба да буде компатибилан са начинима информација који се користе на различитим нивоима рада система—то јест, визуелни, вербални, тактилни или хибридни. Ова информациона компатибилност осигурава да ће различити облици преноса информација захтевати минималну некомпатибилност између медија и природе информација. На пример, визуелни приказ је најбољи за пренос просторних информација, док се звучни унос може користити за преношење текстуалних информација.

Често људски оператер развија интерни модел који описује рад и функцију система према његовом или њеном искуству, обуци и упутствима у вези са датим типом интерфејса човек-машина. У светлу ове реалности, дизајнери ХАС-а треба да покушају да у машине (или друге вештачке системе) уграде модел физичких и когнитивних карактеристика људског оператера – то јест, слику система о оператеру (Холлнагел и Воодс 1983) . Дизајнери ХАС-а такође морају узети у обзир ниво апстракције у опису система, као и различите релевантне категорије понашања људског оператера. Ови нивои апстракције за моделирање људског функционисања у радном окружењу су следећи (Расмуссен 1983): (1) физички облик (анатомска структура), (2) физичке функције (физиолошке функције), (3) генерализоване функције (психолошки механизми и когнитивни и афективни процеси), (4) апстрактне функције (обрада информација) и (5) функционална сврха (вредносне структуре, митови, религије, људске интеракције). Ових пет нивоа пројектанти морају истовремено размотрити како би се обезбедиле ефективне перформансе ХАС-а.

Дизајн системског софтвера

Пошто је рачунарски софтвер примарна компонента сваког ХАС окружења, развој софтвера, укључујући дизајн, тестирање, рад и модификацију, као и питања поузданости софтвера такође се морају размотрити у раним фазама развоја ХАС-а. На овај начин, требало би да буде у стању да смањи трошкове откривања и елиминације софтверских грешака. Тешко је, међутим, проценити поузданост људских компоненти ХАС-а, због ограничења у нашој способности да моделирамо перформансе људских задатака, повезаног радног оптерећења и потенцијалних грешака. Превелико или недовољно ментално оптерећење може довести до преоптерећења информацијама и досаде, и може довести до погоршања људских перформанси, што доводи до грешака и све веће вероватноће незгода. Дизајнери ХАС-а треба да користе адаптивне интерфејсе, који користе технике вештачке интелигенције, да би решили ове проблеме. Поред компатибилности човек-машина, мора се размотрити и питање међусобног прилагођавања човека и машине како би се смањио ниво стреса који настаје када се људске способности могу прекорачити.

Због високог нивоа сложености многих хибридних аутоматизованих система, идентификација било које потенцијалне опасности у вези са хардвером, софтвером, оперативним процедурама и интеракцијама људи и машина ових система постаје критична за успех напора усмерених на смањење повреда и оштећења опреме. . Безбедносни и здравствени ризици повезани са сложеним хибридним аутоматизованим системима, као што је компјутерски интегрисана производна технологија (ЦИМ), очигледно је један од најкритичнијих аспеката дизајна и рада система.

Проблеми безбедности система

Хибридна аутоматизована окружења, са својим значајним потенцијалом за погрешно понашање контролног софтвера у условима поремећаја система, стварају нову генерацију ризика од незгода. Како хибридни аутоматизовани системи постају свестранији и сложенији, поремећаји у систему, укључујући проблеме при покретању и искључивању и одступања у контроли система, могу значајно повећати могућност озбиљне опасности за људске оператере. Иронично, у многим ненормалним ситуацијама, оператери се обично ослањају на правилно функционисање аутоматизованих безбедносних подсистема, што је пракса која може повећати ризик од тешких повреда. На пример, студија незгода повезаних са кваровима система техничке контроле је показала да је око једне трећине секвенци незгода укључивало људску интервенцију у контролној петљи поремећеног система.

Пошто се традиционалне мере безбедности не могу лако прилагодити потребама ХАС окружења, стратегије контроле повреда и превенције несрећа морају се преиспитати с обзиром на инхерентне карактеристике ових система. На пример, у области напредне производне технологије, многе процесе карактерише постојање значајних количина енергетских токова које људски оператери не могу лако предвидети. Штавише, безбедносни проблеми се обично појављују на интерфејсима између подсистема, или када системски поремећаји напредују од једног до другог подсистема. Према Међународној организацији за стандардизацију (ИСО 1991), ризици повезани са опасностима услед индустријске аутоматизације варирају у зависности од типова индустријских машина уграђених у одређени производни систем и од начина на који је систем инсталиран, програмиран, управљан, одржаван. и поправљено. На пример, поређење несрећа повезаних са роботима у Шведској са другим врстама незгода показало је да роботи могу бити најопасније индустријске машине које се користе у напредној производној индустрији. Процењена стопа незгода за индустријске роботе била је једна тешка несрећа на 45 робот-година, виша стопа од оне за индустријске пресе, за коју је пријављено да је једна незгода на 50 машинских година. Овде треба напоменути да су индустријске пресе у Сједињеним Државама чиниле око 23% свих смртних случајева у вези са машинама за обраду метала у периоду од 1980. до 1985. године, са електричним пресама које су биле на првом месту у погледу производа по озбиљности и учесталости повреда које нису фаталне.

У домену напредне производне технологије, постоји много покретних делова који су опасни за раднике јер на сложен начин мењају свој положај ван видног поља људских оператера. Брзи технолошки развој у компјутерски интегрисаној производњи створио је критичну потребу за проучавањем ефеката напредне производне технологије на раднике. Да би се идентификовале опасности које изазивају различите компоненте таквог ХАС окружења, потребно је пажљиво анализирати прошле несреће. Нажалост, несреће које укључују употребу робота тешко је изоловати из извештаја о несрећама у вези са машинама које управљају људи, и стога може постојати висок проценат незабележених незгода. Правила о здрављу и безбедности на раду у Јапану наводе да „индустријски роботи тренутно немају поуздана средства безбедности и радници не могу бити заштићени од њих осим ако њихова употреба није регулисана”. На пример, резултати истраживања које је спровело Министарство рада Јапана (Сугимото 1987) о несрећама у вези са индустријским роботима у 190 испитаних фабрика (са 4,341 радним роботом) показали су да је било 300 поремећаја повезаних са роботима, од чега 37 случајева небезбедних радњи су довеле до неких блиских несрећа, 9 су биле незгоде са повредама, а 2 су биле несреће са смртним исходом. Резултати других студија показују да аутоматизација заснована на рачунару не повећава нужно укупан ниво безбедности, јер системски хардвер не може да се учини безбедним само помоћу безбедносних функција у софтверу рачунара, а системски контролери нису увек високо поуздани. Штавише, у сложеном ХАС-у, не може се ослањати искључиво на безбедносне сензорске уређаје за откривање опасних услова и предузимање одговарајућих стратегија за избегавање опасности.

Ефекти аутоматизације на људско здравље

Као што је горе објашњено, радничке активности у многим ХАС окружењима су у основи оне надзорне контроле, надгледања, подршке система и одржавања. Ове активности се такође могу класификовати у четири основне групе и то: (1) програмски задаци, тј. кодирање информација које воде и усмеравају рад машине, (2) праћење производних и контролних компоненти ХАС-а, (3) одржавање компоненти ХАС-а ради спречавања или ублажавање кварова на машинама и (4) обављање различитих задатака подршке итд. Многи недавни прегледи утицаја ХАС-а на добробит радника закључили су да иако коришћење ХАС-а у области производње може елиминисати тешке и опасне задатке , рад у ХАС окружењу може бити незадовољан и стресан за раднике. Извори стреса су укључивали стално праћење потребно у многим ХАС апликацијама, ограничен обим додељених активности, низак ниво интеракције радника који је дозвољен дизајном система и безбедносне опасности повезане са непредвидивом и неконтролисаном природом опреме. Иако неки радници који су укључени у активности програмирања и одржавања осећају елементе изазова, који могу имати позитивне ефекте на њихово благостање, ови ефекти се често надокнађују сложеном и захтевном природом ових активности, као и притиском које је извршио менаџмент да брзо заврши ове активности.

Иако су у неким ХАС окружењима људски оператери уклоњени из традиционалних извора енергије (ток рада и кретање машине) током нормалних радних услова, многи задаци у аутоматизованим системима и даље треба да се обављају у директном контакту са другим изворима енергије. С обзиром да се број различитих компоненти ХАС-а стално повећава, посебан нагласак мора бити стављен на удобност и сигурност радника и на развој дјелотворних одредби за контролу повреда, посебно имајући у виду чињеницу да радници више нису у стању да држе корак са софистицираност и сложеност оваквих система.

Да би се задовољиле тренутне потребе за контролом повреда и безбедношћу радника у компјутерски интегрисаним производним системима, ИСО комитет за индустријске аутоматизоване системе је предложио нови безбедносни стандард под називом „Безбедност интегрисаних производних система“ (1991). Овај нови међународни стандард, који је развијен у знак препознавања посебних опасности које постоје у интегрисаним производним системима који укључују индустријске машине и припадајућу опрему, има за циљ да минимизира могућности повреда особља током рада на или у близини интегрисаног производног система. Главни извори потенцијалних опасности за људске оператере у ЦИМ-у идентификовани овим стандардом су приказани на слици 1.

Слика 1. Главни извор опасности у компјутерски интегрисаној производњи (ЦИМ) (после ИСО 1991)

Људске и системске грешке

Генерално, опасности у ХАС-у могу настати из самог система, из његове повезаности са другом опремом присутном у физичком окружењу, или из интеракције људског особља са системом. Несрећа је само један од неколико исхода интеракција људи и машина који могу настати у опасним условима; несреће у близини и инциденти са оштећењем су много чешћи (Зимолонг и Дуда 1992). Појава грешке може довести до једне од ових последица: (1) грешка остаје непримећена, (2) систем може да надокнади грешку, (3) грешка доводи до квара машине и/или заустављања система или (4) ) грешка доводи до несреће.

Пошто свака људска грешка која резултира критичним инцидентом неће изазвати стварну несрећу, прикладно је даље разликовати категорије исхода на следећи начин: (1) небезбедан инцидент (тј. било која ненамерна појава без обзира да ли је резултирала повредом, штетом или губитак), (2) несрећа (тј. небезбедан догађај који је резултирао повредом, штетом или губитком), (3) инцидент са штетом (тј. небезбедни догађај који резултира само неком врстом материјалне штете), (4) а блиска несрећа или „скора промашај“ (тј. небезбедан догађај у којем је повреда, штета или губитак случајно избегнут уз малу маргину) и (5) постојање потенцијалне незгоде (тј. небезбедни догађаји који су могли да доведу до повреде, штете , или губитак, али, стицајем околности, није резултирао чак ни близу несреће).

У ХАС-у се могу разликовати три основна типа људске грешке:

1. омашке и пропусте засноване на вештини
2. грешке засноване на правилима
3. грешке засноване на знању.

Ова таксономија, коју је осмислио Реасон (1990), заснива се на модификацији Расмусенове класификације људских перформанси вештина-правило-знање као што је горе описано. На нивоу вештина, људски учинак је вођен сачуваним обрасцима унапред програмираних инструкција представљених као аналогне структуре у просторно-временском домену. Ниво заснован на правилима је применљив на решавање познатих проблема у којима су решења вођена ускладиштеним правилима (која се називају „производње“, пошто им се приступа или их производи по потреби). Ова правила захтевају одређене дијагнозе (или процене) или предузимање одређених корективних радњи, с обзиром на то да су се појавили одређени услови који захтевају одговарајући одговор. На овом нивоу, људске грешке су типично повезане са погрешном класификацијом ситуација, што доводи или до примене погрешног правила или до погрешног опозива последичних пресуда или поступака. Грешке засноване на знању јављају се у новим ситуацијама за које се акције морају планирати „он-лине“ (у датом тренутку), користећи свесне аналитичке процесе и ускладиштено знање. Грешке на овом нивоу произилазе из ограничења ресурса и непотпуног или нетачног знања.

Генерички системи за моделирање грешака (ГЕМС) које је предложио Реасон (1990), који покушавају да лоцирају порекло основних типова људских грешака, могу се користити за извођење укупне таксономије људског понашања у ХАС-у. ГЕМС настоји да интегрише две различите области истраживања грешака: (1) пропусте и пропусте, у којима акције одступају од тренутне намере због неуспеха у извршењу и/или грешака у складиштењу и (2) грешке, у којима радње могу да се одвијају према плану, али план је неадекватан за постизање жељеног исхода.

Процена и превенција ризика у ЦИМ

Према ИСО (1991), процена ризика у ЦИМ-у треба да се врши тако да се сви ризици сведу на минимум и да служи као основа за одређивање безбедносних циљева и мера у развоју програма или планова како за стварање безбедног радног окружења тако и за обезбеђивање безбедност и здравље особља такође. На пример, опасности на раду у ХАС окружењима заснованим на производњи могу се окарактерисати на следећи начин: (1) људски оператер ће можда морати да уђе у опасну зону током задатака опоравка од поремећаја, сервисирања и одржавања, (2) опасну зону је тешко одредити, да опажа и контролише, (3) рад може бити монотон и (4) незгоде које се дешавају у компјутерски интегрисаним производним системима често су озбиљне. Свака идентификована опасност треба да буде процењена у односу на њен ризик, а одговарајуће мере безбедности треба да буду одређене и спроведене како би се тај ризик минимизирао. Опасности такође треба утврдити у погледу свих следећих аспеката било ког процеса: сама јединица; интеракција између појединачних јединица; оперативни делови система; и рад комплетног система за све предвиђене режиме рада и услове, укључујући услове под којима су нормална заштитна средства суспендована за такве операције као што су програмирање, верификација, решавање проблема, одржавање или поправка.

Фаза пројектовања ИСО (1991) безбедносне стратегије за ЦИМ укључује:

• спецификација граница параметара система
• примена стратегије безбедности
• идентификација опасности
• процена повезаних ризика
• отклањање опасности или смањење ризика колико је то изводљиво.

Сигурносна спецификација система треба да садржи:

• опис функција система
• распоред и/или модел система
• резултати анкете предузете да би се истражила интеракција различитих радних процеса и ручних активности
• анализа секвенци процеса, укључујући ручну интеракцију
• опис интерфејса са транспортером или транспортним линијама
• дијаграми тока процеса
• фондацијски планови
• планови уређаја за снабдевање и одлагање
• одређивање простора потребног за набавку и одлагање материјала
• доступне евиденције незгода.

У складу са ИСО (1991), сви неопходни захтеви за обезбеђивање безбедног рада ЦИМ система морају се узети у обзир при пројектовању процедура систематског планирања безбедности. Ово укључује све заштитне мере за ефикасно смањење опасности и захтева:

• интеграцију интерфејса човек-машина
• рано дефинисање положаја оних који раде у систему (у времену и простору)
• рано разматрање начина смањења изолованог рада
• разматрање еколошких аспеката.

Процедура сигурносног планирања треба да се бави, између осталог, следећим безбедносним питањима ЦИМ-а:

• Избор режима рада система. Контролна опрема треба да има одредбе за најмање следеће режиме рада: (1) нормалан или производни режим (тј. са свим нормалним заштитним елементима који су повезани и раде), (2) рад са суспендованим неким од нормалних заштитних механизама и (3) рад у који систем или даљинско ручно покретање опасних ситуација је спречено (нпр. у случају локалног рада или изолације напајања или механичке блокаде опасних услова).
• Обука, инсталација, пуштање у рад и функционално тестирање. Када се захтева да особље буде у зони опасности, у контролном систему треба обезбедити следеће мере безбедности: (1) задржавање ради рада, (2) уређај за омогућавање, (3) смањена брзина, (4) смањена снага и (5) ) покретно заустављање у нужди.
• Сигурност у програмирању, одржавању и поправци система. Током програмирања, само програмер треба да буде у заштићеном простору. Систем треба да има процедуре за инспекцију и одржавање како би се обезбедио наставак планираног рада система. Програм инспекције и одржавања треба да узме у обзир препоруке добављача система и препоруке добављача различитих елемената система. Једва да треба помињати да особље које обавља одржавање или поправке система треба да буде обучено у поступцима неопходним за обављање тражених задатака.
• Отклањање грешке. Тамо где је отклањање квара неопходно из унутрашњости заштићеног простора, то треба извршити након безбедног искључивања (или, ако је могуће, након што је активиран механизам за закључавање). Треба предузети додатне мере против погрешног покретања опасних ситуација. Тамо где се могу појавити опасности током отклањања кварова на деловима система или на машинама суседних система или машина, оне такође треба да буду искључене из рада и заштићене од неочекиваног покретања. Путем упутстава и знакова упозорења треба скренути пажњу на отклањање кварова у компонентама система који се не могу у потпуности уочити.

Контрола поремећаја система

У многим ХАС инсталацијама које се користе у компјутерски интегрисаној производној области, људски оператери су обично потребни у сврху контроле, програмирања, одржавања, претходног подешавања, сервисирања или решавања проблема. Поремећаји у систему доводе до ситуација због којих је неопходно да радници уђу у опасна подручја. У том смислу, може се претпоставити да поремећаји остају најважнији разлог за мешање људи у ЦИМ, јер ће системи најчешће бити програмирани изван ограничених подручја. Једно од најважнијих питања за безбедност ЦИМ-а је спречавање сметњи, пошто се већина ризика јавља у фази решавања проблема у систему. Избегавање сметњи је заједнички циљ у погледу безбедности и економичности.

Поремећај у ЦИМ систему је стање или функција система која одступа од планираног или жељеног стања. Поред продуктивности, поремећаји током рада ЦИМ-а директно утичу на безбедност људи укључених у рад система. Финска студија (Куиванен 1990) показала је да отприлике половина поремећаја у аутоматизованој производњи смањује безбедност радника. Главни узроци поремећаја били су грешке у дизајну система (34%), кварови компоненти система (31%), људска грешка (20%) и спољни фактори (15%). Већина кварова на машинама била је узрокована контролним системом, ау контролном систему већина кварова се догодила у сензорима. Ефикасан начин да се повећа ниво безбедности ЦИМ инсталација је смањење броја сметњи. Иако људска дејства у поремећеним системима спречавају настанак удеса у ХАС окружењу, она им такође доприносе. На пример, студија незгода повезаних са кваровима система техничке контроле је показала да је око једне трећине секвенци незгода укључивало људску интервенцију у контролној петљи поремећеног система.

Главна истраживачка питања у превенцији ЦИМ поремећаја тичу се (1) главних узрока сметњи, (2) непоузданих компоненти и функција, (3) утицаја поремећаја на безбедност, (4) утицаја поремећаја на функцију система, ( 5) материјална штета и (6) поправке. Безбедност ХАС-а треба да се планира рано у фази пројектовања система, уз дужно разматрање технологије, људи и организације, и да буде саставни део целокупног процеса техничког планирања ХАС-а.

ХАС Дизајн: будући изазови

Да би се обезбедила потпуна корист од хибридних аутоматизованих система, као што је горе дискутовано, потребна је много шира визија развоја система, она која се заснива на интеграцији људи, организације и технологије. Овде треба применити три главна типа системске интеграције:

1. интеграција људи, обезбеђујући ефикасну комуникацију између њих
2. интеграцију човека и рачунара, пројектовањем одговарајућих интерфејса и интеракције између људи и рачунара
3. технолошка интеграција, обезбеђивањем ефикасног повезивања и интеракције између машина.

Минимални захтеви дизајна за хибридне аутоматизоване системе треба да обухватају следеће: (1) флексибилност, (2) динамичку адаптацију, (3) побољшану реакцију и (4) потребу да се мотивишу људи и боље искористе њихове вештине, расуђивање и искуство . Горе наведено такође захтева да се ХАС организационе структуре, радне праксе и технологије развију како би се омогућило људима на свим нивоима система да прилагоде своје радне стратегије различитим ситуацијама контроле система. Стога ће организације, радна пракса и технологије ХАС-а морати да буду дизајниране и развијене као отворени системи (Кидд 1994).

Отворени хибридни аутоматизовани систем (ОХАС) је систем који прима улазне податке и шаље излазе у своје окружење. Идеја отвореног система може се применити не само на системске архитектуре и организационе структуре, већ и на радну праксу, интерфејсе човека и рачунара и односе између људи и технологија: могу се поменути, на пример, системи планирања, контролни системи и системи за подршку одлучивању. Отворени систем је такође прилагодљив када људима омогућава велики степен слободе да дефинишу начин рада система. На пример, у области напредне производње, захтеви отвореног хибридног аутоматизованог система могу се реализовати кроз концепт људска и компјутерски интегрисана производња (ХЦИМ). Са овог становишта, дизајн технологије треба да се бави целокупном архитектуром ХЦИМ система, укључујући следеће: (1) разматрања мреже група, (2) структуру сваке групе, (3) интеракцију између група, (4) природу пратећег софтвера и (5) техничку комуникацију и потребе интеграције између пратећих софтверских модула.

Адаптивни хибридни аутоматизовани систем, за разлику од затвореног система, не ограничава оно што људи могу да раде. Улога дизајнера ХАС-а је да креира систем који ће задовољити личне преференције корисника и омогућити корисницима да раде на начин који сматрају најприкладнијим. Предуслов за омогућавање корисничког уноса је развој методологије адаптивног дизајна—то јест, ОХАС-а који омогућава омогућавање компјутерски подржане технологије за њену примену у процесу пројектовања. Потреба за развојем методологије за адаптивни дизајн је један од непосредних захтева за реализацију ОХАС концепта у пракси. Такође треба развити нови ниво адаптивне технологије управљања људским надзором. Таква технологија би требало да омогући људском оператеру да „прогледа кроз“ иначе невидљив контролни систем функционисања ХАС-а—на пример, применом интерактивног, брзог видео система у свакој тачки контроле и рада система. Коначно, веома је потребна методологија за развој интелигентне и високо прилагодљиве, компјутерски засноване подршке људским улогама и људском функционисању у хибридним аутоматизованим системима.

Назад