Sicherheitssteuerungen für mobile Roboter: Ein Leitfaden für Pharmawerke im Vereinigten Königreich

Sicherheitssteuerungen für mobile Roboter sind die zertifizierten Hardwaremodule, die die Sicherheitsfunktionen einer Maschine – Not-Aus, Schutzstopp, Geschwindigkeitsbegrenzung und Scannerüberwachung – unabhängig von ihrer Navigationssoftware ausführen. Diese Unabhängigkeit ist der entscheidende Punkt: Wenn der Navigations-Stack abstürzt, stoppt die Sicherheitssteuerung den AMR/ AGV trotzdem. Seit dem 5. Dezember 1998 gelten die Provisions and Use of Work Equipment Regulations (SI 1998/2306) für jedes Arbeitsmittel in Großbritannien und unterscheiden nicht zwischen einem AMR/ AGV mit Fahrer und einem ohne. Für einen Betriebsleiter an einem MHRA-regulierten Standort ist dies der Punkt, an dem die Automatisierung ins Stocken gerät. Ihr Qualifizierungsprotokoll erfordert dokumentierte Nachweise, dass jede Sicherheitsfunktion unabhängig bewertet und verifiziert wurde. Der Roboterlieferant bietet eine Konformitätserklärung und eine Broschüre an. Ihr Auditor möchte das Performance Level, den Validierungsbericht und den Nachweis, dass die Funktion in Ihrem Betrieb getestet wurde.

Warum Sicherheitsnachweise Roboterprojekte an regulierten Standorten ins Stocken bringen

An einem regulierten Produktionsstandort kollidieren drei Kräfte, und die Sicherheitssteuerung befindet sich am Schnittpunkt all dieser Kräfte.

Die erste ist die Beschaffungsrahmengebung. Mobile Roboter werden als Fahrzeuge gekauft – Nutzlast, Hubhöhe, Laufzeit, Gangbreite. Die Sicherheitssteuerung ist eine Zeile, die in einem Anhang versteckt ist, falls sie überhaupt erscheint. Bis das Qualifizierungsteam fragt, welche Komponente den Schutzstopp ausführt und auf welchem Performance Level, ist der Auftrag unterschrieben und die Antwort ist das, was der Hersteller gerade eingebaut hat.

Die zweite ist ein Kategorienfehler bei der Zertifizierung. Ein UKCA- oder CE-Zeichen besagt, dass der Hersteller die Konformität mit den für die Maschine geltenden Richtlinien erklärt hat. Es sagt Ihnen nicht, dass diese Maschine in Ihrem Gebäude, bei Ihren Gangbreiten, mit Ihrem Verkehr sicher ist. PUWER legt die Pflicht auf den Benutzer, nicht auf den Hersteller, und diese Pflicht geht nicht mit der Rechnung über.

Die dritte ist die Qualifizierungskultur selbst. An einem MHRA-regulierten Standort geht nichts ohne dokumentierten Nachweis, dass es das tut, wofür es spezifiziert ist, in den Routinebetrieb. Ihr Team ist erfahren in der Qualifizierung einer Abfüllanlage. Ein fahrerloser AMR/ AGV, der per Software navigiert, dynamisch umleitet und sich den Boden mit Menschen teilt, passt nicht in die Vorlage, so dass er in einer Warteschlange landet, die niemand besitzt.

Navigationssoftware wird auch viel häufiger aktualisiert als Sicherheitshardware. Die Anlage benötigt eine Komponente, deren Verhalten fest, bewertet und unabhängig überprüfbar ist – und das ist diejenige, die am unwahrscheinlichsten spezifiziert wurde.

Sicherheitssteuerungen für mobile Roboter sind die zertifizierte Hardware, die die Sicherheitsfunktionen eines Roboters unabhängig von seiner Navigationssoftware ausführt – und gemäß PUWER 1998 müssen sie als Teil Ihrer Arbeitsmittel validiert werden, nicht auf die Zusicherung eines Lieferanten hin akzeptiert werden.

Hebel 1 – Spezifizieren Sie die Sicherheitssteuerung, bevor Sie den Roboter spezifizieren

Schreiben Sie die Sicherheitsarchitektur in die Ausschreibung, nicht in den Abnahmetest. Drei Fragen klären das meiste.

Welche Funktionen sind sicherheitsrelevant? Mindestens: Not-Aus, Schutzstopp vom Scanner, Geschwindigkeitsbegrenzung in definierten Zonen und sichere Richtungs- oder Lenküberwachung. Fragen Sie nach jeder einzelnen Funktion mit ihrem Performance Level, anstatt einer pauschalen Behauptung, dass der AMR/ AGV „sicherheitszertifiziert“ ist.

Ist der Sicherheitskanal unabhängig von der Navigation? Eine Steuerung, die den Prozessor teilt, der den Mapping-Stack ausführt, führt zu einem Single Point of Failure. Eine Zweikanalarchitektur mit einem dedizierten Sicherheitsprozessor ermöglicht die isolierte Überprüfung der Funktion – und erlaubt es Ihnen, den Fall einem Auditor gegenüber zu argumentieren, ohne auf Software verweisen zu müssen, die Sie nicht überprüfen können.

Spricht es eine dokumentierte Schnittstelle? Die Flottensteuerung muss Fahrzeuge von mehr als einem Hersteller steuern und überwachen. Eine Steuerung, die ihren Status über einen offenen Standard wie VDA 5050 offenlegt, hält die Orchestrierungsebene – siehe M4 – herstellerneutral und lässt Sie später eine andere Maschinenklasse hinzufügen, ohne den Sicherheitsnachweis neu schreiben zu müssen. Die Sicherheitssteuerungen für mobile Roboter von FlyWei dokumentieren die Bewertungen und Schnittstellen für jede Klasse.

Hebel 2 – Validieren Sie die Sicherheitsfunktionen in Ihrem eigenen Betrieb

Ein Performance Level auf einem Datenblatt ist eine Aussage über eine Komponente. Ihre Verpflichtung betrifft ein System in einem Gebäude. Schließen Sie diese Lücke mit einem Validierungslauf, der der Art und Weise folgt, wie Sie andere Geräte qualifizieren.

Kartieren Sie zuerst die Gefahren: blinde Ecken, Übergänge an Laderampen, der Fußgängerweg, der den Hauptgang kreuzt, die gekühlte Schleuse, in der sich Kondenswasser auf einer Scannerlinse absetzt. Die HSE-Anleitung zum innerbetrieblichen Transport basiert genau auf diesen Schnittstellen zwischen Fahrzeugen und Personen.

Testen Sie dann jede Sicherheitsfunktion gegen jede Gefahr und dokumentieren Sie dies. Lösen Sie den Schutzstopp mit einem Teststück in der bewerteten Detektionshöhe des Scanners aus. Bestätigen Sie, dass die Geschwindigkeitsbegrenzung tatsächlich in der von Ihnen gezeichneten Zone gilt. Erzwingen Sie einen Not-Aus während des Hubs und dokumentieren Sie das Verhalten der Last. Unterbrechen Sie das Netzwerk und bestätigen Sie, dass der AMR/ AGV sicher anhält, anstatt den letzten Auftrag fortzusetzen.

Unterschreiben Sie jeden Test mit dem Namen eines Ingenieurs, einem Datum und einem Ergebnis. Dieser Bericht, nicht die Broschüre, ist das, was Ihr Auditor liest – und er ermöglicht es dem Werk, einen Roboter von der Qualifizierung in den Routinebetrieb zu überführen.

Hebel 3 – Erstellen Sie das PUWER- und ISO 3691-4-Nachweispaket

Zwei Referenzen tragen das meiste regulatorische Gewicht, und deren frühzeitige Nennung verkürzt jede spätere Konversation.

PUWER 1998 ist die Pflicht. Es verlangt, dass Arbeitsmittel geeignet, gewartet, inspiziert und nur von Personen mit ausreichender Schulung und Information verwendet werden. Regelung 11 befasst sich mit gefährlichen Maschinenteilen, wo ein beweglicher Mast und eine angetriebene Gabel sitzen. Wo der AMR/ AGV hebt, gilt LOLER 1998 daneben.

ISO 3691-4 ist die Spezifikation. Sie deckt fahrerlose Flurförderzeuge und deren Systeme ab, und es ist das Dokument, das ein Auditor referenziert sehen möchte, wenn Sie erklären, wie die Sicherheitsfunktionen ausgewählt und verifiziert wurden. Standards sind über BSI erhältlich.

Stellen Sie das Paket als ein kontrolliertes Dokument zusammen: die Erklärung und das UKCA-Zeichen, jede Sicherheitsfunktion mit ihrer Bewertung, Ihre Standortvalidierungsaufzeichnungen, das Verkehrs- und Fußgängerlayout wie gebaut, die Schulungsaufzeichnungen für Vorgesetzte und das geplante Inspektionsintervall. Jährlich überprüft, beantwortet es die Fragen eines Inspektors, bevor sie gestellt werden.

Hebel 4 – Standardisieren Sie eine Steuerungsfamilie über eine gemischte Flotte hinweg

Die meisten Werke automatisieren nicht in einem Zug. Ein Gegengewichtsstapler kommt für Palettenbewegungen, eine Schmalgangmaschine folgt für Hochregale, eine flache Einheit erledigt den Dock-to-Stock-Transport. Allein gelassen, kommt jeder mit einer anderen Sicherheitsarchitektur an, die ihre eigene Validierung, Ersatzteile, Schulung und Wartungslinie benötigt.

Die Spezifikation einer gemeinsamen Steuerungsfamilie über die gesamte Flotte hinweg bricht dies auf. Der Sicherheitsnachweis wird einmal gegen eine bekannte Architektur geschrieben und pro Maschinenklasse erweitert, anstatt neu aufgebaut zu werden. Vorgesetzte lernen ein Diagnoseverhalten. Ersatzteile konsolidieren sich auf eine Handvoll Teilenummern. Wenn eine Maschinenklasse hinzugefügt wird, ist der Qualifizierungsaufwand inkrementell statt wiederholt.

Hier verdient ein unabhängiger Integrator seinen Platz. Eine Lieferkette mit einem einzigen Hersteller gibt Ihnen die Steuerung, die dieser Hersteller einbaut. Die Wahl über verschiedene Hersteller hinweg ermöglicht es, dass die Steuerung der feste Punkt und die Maschine die Variable ist – die richtige Reihenfolge, denn die Steuerung ist das, worauf Ihr Nachweispaket basiert, und die Maschine ist das, was sich ändert, wenn der Prozess sich ändert.

Was FlyWei hier tut

FlyWei ist ein unabhängiger UK-Systemintegrator für autonome Gabelstapler und AMRs. Wir sind weder Hersteller noch Wiederverkäufer, und genau deshalb ist die Sicherheitssteuerung eine Spezifikation, die wir festlegen, anstatt sie zu übernehmen.

An einem regulierten pharmazeutischen Standort erfolgt die Arbeit in drei Phasen. Wir beginnen mit dem Fluss, nicht mit der Maschine: Eine 48-Stunden-Analyse Ihrer volumenstärksten Bewegung – typischerweise von der Produktionsverpackung bis zum Quarantäne- oder Zolllagerbereich – stellt fest, ob der Fluss überhaupt für einen fahrerlosen AMR/ AGV geeignet ist und welche Klasse passt. Das kann ein FlyWei autonomer Schubmaststapler für Hochregale, eine Staplerklasse für mittlere Höhen oder ein Hubroboter mit latentem Hub sein, bei dem die Last ein Rollkäfig statt einer Palette ist.

Wir spezifizieren dann die Steuerung gemäß Ihren Nachweisanforderungen, benennen und bewerten jede Sicherheitsfunktion, bevor etwas bestellt wird, und greifen dabei auf das auf unserer Steuerungsseite dargelegte Sortiment zurück. Schließlich führen wir die Validierung in Ihrem Betrieb mit Ihrem Team durch und erstellen die unterschriebenen Aufzeichnungen für Ihr Qualifizierungspaket.

M4 verwaltet die Flotte und hält die Verkehrsregeln; RDS versendet Aufträge von den Systemen, die Sie bereits betreiben, sodass Roboter Aufträge von Ihrem bestehenden ERP und WMS entgegennehmen, anstatt diese zu ersetzen. Standorte im gesamten East Midlands Korridor – Magna Park, DIRFT, Burton-on-Trent – arbeiten nach diesem Muster, und unsere Lösungsseiten stellen dies nach Sektor dar.

Häufig gestellte Fragen