EN 60204-1: Elfejl, der blev fabriksstandard

„På den anden linje skal temperaturen stå lidt anderledes.“ To ens linjer fremstiller samme produkt, men kræver forskellige temperaturindstillinger. Den erfarne operatør ved, hvad der skal justeres. Den nye skal først lære det.

Når nogen spørger, hvorfor identiske maskiner opfører sig forskelligt, lyder svaret, at hver maskine har sin egen personlighed. Sådan holder en forstyrret måling op med at være en fejl, der skal fjernes. Den bliver til praktisk viden, som gives videre fra medarbejder til medarbejder.

Procesteknologen korrigerer parametrene. Operatøren holder øje med resultatet. Produktionen konstaterer, at anlægget trods alt kan køre. I stedet for at rette installationen har virksomheden hævet kravene til betjeningen.

Det er en af de mindre spektakulære følger af fejl i maskiners elektriske udstyr. Intet behøver at brænde. Intet værn behøver at udløse. Dårligt førte kabler kan være nok til, at virksomheden hver dag betaler for ekstra regulering, kontrol og proceskorrektion. Regningen lander i medarbejdernes arbejdstid og bliver derfor let forvekslet med normale produktionsomkostninger.

Det har langt mere med EN 60204-1 at gøre end kabelkanalernes udseende i tavlen. En elektrisk fejl kan ændre hele den måde, maskinen bruges på. Hvis fejlen fremtvinger hyppigere adgang til et farligt område, rokker den også ved forudsætningerne for risikovurderingen. Regulering én gang om måneden og regulering hver time er ikke det samme, selv om begge dele står under ordet „regulering“ i dokumentationen.

Andre fabriksmyter får samme karriere. Rødt i signaltårnet skal betyde ethvert stop, fordi lederen vil se, hvor produktionen står stille. Fejlstrømsafbrydere bruges ikke sammen med frekvensomformere, fordi de engang gav problemer. Ingen spørger til forsyningssystemet, når spændingen passer, og beskyttelseslederen (PE) er tilsluttet.

Alle forklaringerne lukker hurtigt en ubekvem diskussion. Efter nogle år bliver et spørgsmål om det tekniske grundlag opfattet som tegn på manglende erfaring. Men erfaring er netop evnen til at skelne mellem en gennemprøvet løsning og en fejl, som alle har lært at leve med.

Standardenummeret i dokumentationen afgør ikke sagen. Man skal ind i installationen, følge beskyttelsens virkemåde og se, hvad mennesker faktisk gør ved maskinen. Især det, maskinen egentlig ikke skulle kræve af dem.

Den sværeste fejl at fjerne er den, der allerede er blevet virksomhedens standard.

1. Procesteknologen regulerer den proces, installationen ødelægger

Procesteknologen skal stabilisere linje nummer to. Vedkommende får temperaturvisninger, produktionsresultater og adgang til at ændre parametre. På det grundlag vælges indstillinger, som giver det rigtige produkt. Skal de korrigeres, bliver de korrigeret.

Årsagen ligger imidlertid i temperaturkabler, der er ført tæt på motorkablerne til servodrevene. Forstyrrelser trænger ind i termoelementets målekreds og dukker op på betjeningspanelet som temperatur. Det samme produkt kræver derfor ikke andre indstillinger, fordi materialet pludselig har fået nye egenskaber. Det kræver dem, fordi installationen er udført dårligere på den ene linje.

Elinstallatøren efterlod ikke problemet på diagrammet. Han efterlod det i kabelkanalen.

Regulatoren får en forkert måling og reagerer samvittighedsfuldt

Et termoelement leverer en lille spænding, der omregnes til temperatur under hensyn til følertype og koldpunktskompensation. Hvis en forstyrrelse forfalsker signalet, arbejder regulatoren med en forkert oplysning. Den kan skrue op eller ned for varmen helt efter sin algoritme, selv om den faktiske temperatur ikke begrunder reaktionen.

Målefejlen begynder dermed at påvirke selve processen. Et menneske ser resultatet og korrigerer indstillingerne. Der opstår endnu en reguleringssløjfe, som ingen bestilte sammen med den automatiske linje.

Automatikken regulerer efter den forkerte måling. Procesteknologen regulerer efter automatikken. I udstyrslisten står de to regulatorer hver for sig: Den første som styring, den anden som en stilling på lønningslisten.

Et tal på skærmen beviser meget lidt. Den forstyrrede værdi kan stadig ligge inden for måleområdet. Der behøver ikke komme alarm for brudt termoelement eller en anden entydig fejlmeddelelse. Identiske diagrammer for de to linjer udelukker heller ikke en forskel. Diagrammet viser forbindelserne. Kablernes fysiske placering, skærmtilslutningerne og potentialudligningen skal kontrolleres på maskinen.

„Standarden tillader jo fælles kabelføring“

Ja. På bestemte betingelser.

EN 60204-1, punkt 13.1.3, tillader, at ledere fra forskellige kredse føres ved siden af hinanden, i samme kanal og i visse fælles kabelsystemer. Betingelsen er, at placeringen ikke forstyrrer nogen af kredsenes korrekte funktion. Derefter kommer kravene til adskillelse eller isolation ved forskellige spændinger.

Argumentet „isolationen er dimensioneret til spændingen“ besvarer derfor kun en del af spørgsmålet. Ledningerne behøver ikke kortslutte, før installationen er forkert udført. Det er nok, at én kreds effektivt ødelægger den information, som en anden kreds behøver.

EMC-kravene omfatter både emission af forstyrrelser og udstyrets immunitet i det forventede driftsmiljø. Det informative bilag H beskriver blandt andet adskillelse af effekt- og signalkabler, korrekt skærmning, potentialudligning og anvendelse af kabler efter producenternes anvisninger.

Det er altså ikke nok at købe et skærmet kabel og erklære EMC-problemet afsluttet. Kablet skal også føres og termineres korrekt.

Lad os først undersøge, om temperaturen faktisk ændrede sig

Før opskriften korrigeres endnu en gang, bør man udfordre det, der hidtil blev behandlet som et faktum: om visningen er troværdig.

Sammenlign signalet med en uafhængig referencemåling. Tag højde for målestedet og følernes reaktionstid. Registrer samtidig drivenes drift. Kig efter sammenhæng mellem driften og afvigelsen i målesignalet, ikke blot mellem driften og temperaturforløbet. Maskinens bevægelse kan jo også påvirke den virkelige proces.

Kontrollér indgangens konfiguration og hele målekædens udførelse. Vurder derefter under en kontrolleret prøve virkningen af ændret kabelføring, skærmning eller potentialudligning. Lad være med samtidig at ændre opskriften. Ellers bliver virkningerne blandet sammen.

Hvis årsagen er en elektrisk forstyrrelse, er en særskilt indstilling til linje nummer to ikke bevis på en korrekt udviklet proces. Den viser kun, at nogen fandt en måde at producere på trods af målefejlen. Næste ændring i driftsbetingelserne kan kræve endnu et operatørindgreb.

Forstyrrelsen har fået sin egen procesindstilling. Nu kan den genskabes sammen med opskriften.

En separat procesindstilling kan skjule en målefejl. Den kan ikke reparere den.

2. Én gang om måneden i risikovurderingen, én gang i timen i produktionen

„Reguleringen er medtaget i risikovurderingen.“ Det er den. Én gang om måneden.

I virkeligheden udfører operatøren den hver time, fordi processen ellers ikke holder parametrene. Aktiviteten har samme navn, så dokumentationen ser umiddelbart rigtig ud. Men hvis indgrebet kræver adgang bag en afskærmning tæt på varme procesdele, betyder den ekstra betjening også ekstra eksponering.

Maskinen behøver ikke kunne køre med åben afskærmning, før problemet bliver sikkerhedsrelevant. Den skulle kræve lejlighedsvis regulering. Nu kræver den regelmæssig redning af produktionen. Risikovurderingen giver stadig maskinen fordelene fra den første version.

„Det er jo kun en procesføler“

Sådan forsøger man ofte at adskille måleproblemet fra sikkerheden. Føleren udfører ingen sikkerhedsfunktion. Sikkerhedsrelæet virker. Åbning af afskærmningen standser drevene. Fejlen må derfor kun angå kvalitet.

Men det er netop den forkerte måling, der får mennesker hen til maskinen oftere end forudsat. En almindelig føler behøver ikke styre et værn for at undergrave de betingelser, som værnet blev valgt efter.

ISO 12100 forbinder udstyrets pålidelighed med behovet for at begrænse antallet af indgreb og eksponeringen for farer. Det omfatter også udstyr, der udfører andre funktioner end sikkerhedsfunktioner. Opdelingen i „sikkerhed“ og „proces“ fritager derfor ingen for at følge konsekvenserne gennem hele maskinen.

Elektrikeren efterlod en forstyrret målekreds. Procesteknologen fandt indstillinger, der kunne producere. Operatøren udfører de ekstra handlinger. Hver afdeling tog sig af sin del. Kun eksponeringshyppigheden mangler en afdeling og ender derfor let uden ejer.

Hvis begrundelsen for tilstrækkelig risikonedsættelse byggede på sporadisk adgang, kan den ikke fortsat behandles som aktuel, når indgrebet nu sker hver time. Det handler ikke om datoen for næste dokumentgennemgang. Den oplysning, konklusionen byggede på, har ændret sig.

Det kan ikke omregnes med en simpel multiplikator. Hyppigere regulering giver ikke automatisk en bestemt stigning i en risikoscore. Man skal undersøge, hvad personen gør, hvilke farer vedkommende udsættes for, hvor længe eksponeringen varer, og hvilken beskyttelse der er til rådighed.

At beholde den gamle hyppighed betyder derimod, at man bevidst vurderer andre arbejdsforhold end dem, der findes ved maskinen.

Afskærmningen blev valgt til service, men bruges nu i produktionen

Antag, at det sjældne adgangsbehov begrundede en fast afskærmning. Ved månedlig service kunne afmontering, udførelse af arbejdet og korrekt genmontering passe ind i vedligeholdelsesplanen. Nu skal den samme operation gentages hele skiftet.

Før eller siden lader nogen afskærmningen stå løs. Virksomheden opdager et nyt problem: medarbejdernes adfærd. Kabelkanalen forbliver uændret. Operatøren får endnu en instruktion.

Det retfærdiggør ikke arbejde uden beskyttelse. Det viser, hvor årsagsanalysen blev afbrudt. ISO 12100 peger på sammenhængen mellem et stigende adgangsbehov og risikoen for, at faste afskærmninger ikke monteres igen. Under sådanne forhold må man vælge andre passende beskyttelsesforanstaltninger i stedet for at behandle regelmæssig afskruning som et rent disciplinproblem.

Det ville være lige så forkert at lade målefejlen bestå og kun gøre maskinen nemmere at åbne. Først fjernes årsagen til de overflødige indgreb. Derefter vælges beskyttelsen efter de aktiviteter, der faktisk stadig er nødvendige.

Så længe fejlen findes, skal risikovurderingen og beskyttelsesforanstaltningerne afspejle de aktuelle arbejdsforhold, ikke løftet om en fremtidig reparation. Efter forbedringen kontrolleres derfor både signalets stabilitet og om behovet for de løbende korrektioner virkelig er forsvundet.

En risikovurdering for sporadisk regulering er ikke et alibi for en maskine, der kræver regulering hele skiftet.

3. Rødt, fordi produktionslederen ikke kan lide stop

„Når maskinen står stille, skal den lyse rødt. Jeg vil straks kunne se, hvor produktionen er stoppet.“ Automatikteknikeren har fået et klart krav. Signalet kobles til fravær af automatisk drift.

Partiet er færdigt: rødt. Maskinen venter på materiale: rødt. Der er opstået en farlig tilstand: også rødt.

Signaltårnet viser produktionslederens utilfredshed uden fejl. Informationen til operatøren gik mindre godt.

Én farve, modstridende instruktioner

Ved materialemangel skal operatøren gå hen til maskinen og udføre en planlagt handling. Ved en farlig tilstand kan det være nødvendigt at handle øjeblikkeligt eller netop at holde sig væk.

Hvis begge situationer vises på samme måde, hjælper farven ikke længere med at vælge den rigtige reaktion. Det er problemet. Ikke at nogen har fornærmet en farvetabel.

EN 60204-1 anbefaler kodning af indikatorer efter maskinens tilstand. I tabel 4 er rød knyttet til en nødsituation eller fare, gul til en unormal tilstand og blå til en situation, hvor operatøren skal handle. Grøn angiver normal tilstand, mens hvid bruges til neutral information.

„Producerer ikke“ er ikke en farekategori. „Producerer“ er heller ikke en bekræftelse af sikkerhed. Afsluttet parti, behov for materialepåfyldning og advarsel om fare skal kunne skelnes fra hinanden. De kan ikke meningsfuldt reduceres til den fælles betingelse „automatisk drift er ikke aktiv“.

„Operatørerne ved godt, hvad rødt betyder.“ I dette tilfælde ved de først og fremmest, at farven ikke afgør noget. De skal undersøge, om de skal fylde materiale på, hente produktet eller holde sig væk. Man har designet et iøjnefaldende signal og derefter fjernet dets entydige betydning.

Produktionslederen har naturligvis ret til at få vist stilstand. Det kræver ikke, at al advarselsinformation overtages af ét rødt lys. Produktionsinformation kan vises og beskrives separat. Det kræver blot lidt mere end at forbinde én lampe med én bit i PLC-programmet.

Rød STOP ved siden af rød E-STOP

På betjeningspanelet opstår det omvendte problem. Personen aflæser ikke et signal, men skal vælge det rigtige betjeningsorgan. En almindelig rød STOP sidder ved siden af en rød E-STOP.

Panelkonstruktøren kender funktionerne. Under afprøvningen trykker han på den rigtige knap og bekræfter reaktionen. Konstruktøren har dermed kontrolleret, at han ikke selv forveksler de knapper, han selv placerede. Bedre prøvebetingelser får man næsten ikke.

Standarden tillader rød til almindelig STOP, men anbefaler, at farven ikke bruges tæt på et betjeningsorgan til nødhandling. Sort er den foretrukne farve til almindeligt stop; grå og hvid er også omfattet af anbefalingen. Et rødt betjeningselement på gul baggrund er derimod udelukkende beregnet til nødhandling.

Pointen er ikke, at enhver rød STOP er en fejl. Spørgsmålet er, om det konkrete panel gør det lettere eller sværere at genkende den rigtige funktion. Farve, form, baggrund, mærkning og placering virker sammen. En tydelig forskel på diagrammet er ikke nok.

Hvis den almindelige STOP tillader maskinen at afslutte et procestrin, vil et tryk på den i stedet for E-STOP udløse netop denne reaktion. Styringen kan ikke gætte, at personen egentlig ville have valgt naboknappen.

Kontrollér betydningen, ikke kun om lampen lyser

Ved overtagelse bør signaleringen gennemprøves i konkrete tilstande: afsluttet parti, venten på betjening, procesfejl og farlig tilstand. For hver situation fastlægges, hvad personen ser, hvordan prioriteten genkendes, og hvilken handling signalet kræver.

Hvis flere tilstande kan optræde samtidig, skal det kontrolleres, om produktionsinformationen skjuler advarslen. For knapper vurderes genkendelighed og tilgængelighed fra betjeningsstedet samt maskinens faktiske reaktion.

Instruktionen skal forklare et sammenhængende betjeningssystem. Den skal ikke forsøge at forsone modstridende betydninger, som konstruktionen har efterladt.

En test af PLC-udgangen kan bekræfte, at den rigtige lampe tænder. Den bekræfter ikke, at lampen giver den rigtige information. Produktionsprioriteter kan forhandles. Betydningen af et faresignal bør ikke forhandles sammen med skiftets produktionsplan.

At lampen tænder korrekt, beviser ikke, at den fortæller sandheden klart.

4. TT: Jordforbindelsen er der. Men hvad afbryder forsyningen?

„Beskyttelseslederen er tilsluttet. Kontinuiteten er målt. Sikringen passer til belastningen.“ Det lyder komplet, indtil nogen spørger, hvilket forsyningssystem maskinen er tilsluttet, og hvad der sker ved en isolationsfejl.

Betragt en maskine i et TT-system, hvor beskyttelsen under fejltilstand alene er overladt til et overstrømsværn. Valget er kopieret fra tidligere projekter. Betingelserne for automatisk afbrydelse på det nye installationssted blev ikke kontrolleret, fordi spændingen passer, og jordforbindelsen jo findes.

Leverandøren kopierede beskyttelsesapparatet. De forhold, som skulle få det til at virke, fulgte ikke med.

Strømmen forsvinder ikke ned i jorden

I et TN-system har fejlstrømmen en metallisk returvej gennem beskyttelseslederne til forsyningens jordede punkt. I et TT-system er de udsatte ledende dele jordet uafhængigt af forsyningens jordforbindelse. Fejlstrømskredsen omfatter derfor også jordvejen og jordelektroderne ved installationen og forsyningen.

Ved en isolationsfejl løber strømmen fra faselederen til kapslingen, videre gennem beskyttelsesforbindelsen og jordingssystemet og tilbage til kilden. Strømmens størrelse bestemmes af impedansen i hele sløjfen, ikke alene af modstanden i lederen mellem kapslingen og PE-klemmen.

Jordforbindelsen er ikke et afløb, hvor strømmen hældes ud, hvorefter beregningen kan stoppe. Perfekt kontinuitet i beskyttelsesforbindelserne kan derfor sagtens optræde sammen med en fejlstrøm, der er for lille til at udløse overstrømsværnet.

Der er ingen modsigelse. Forbindelsen er kontrolleret. Beskyttelsens effektivitet er endnu ikke dokumenteret.

Ti ampere overbeviser ikke et 16 A-værn

Brug et enkelt regneeksempel: spænding mod jord 230 V, samlet fejlsløjfeimpedans 23 Ω og et overstrømsværn på 16 A. Fejlen mellem faseleder og kapsling antages at have ubetydelig impedans, og belastningsstrømmen ses bort fra.

Fejlstrømmen bliver omtrent:

I = U₀ / Zₛ = 230 V / 23 Ω = 10 A.

Det er mindre end værnets mærkestrøm. Der er intet grundlag for at forvente, at apparatet afbryder kredsen på grund af overstrøm. Samtidig kan kapslingen stå med en farlig spænding mod jord.

Værnet er ikke defekt. Ti ampere er ikke et overbevisende argument over for et apparat mærket 16 A. Problemet skulle være fundet i projekteringen.

Betingelsen i bilag A.2 er Zₛ × Iₐ ≤ U₀. Den afgørende størrelse er Iₐ: den strøm, der får beskyttelsesapparatet til at reagere inden for den krævede tid. Det er ikke nødvendigvis mærkestrømmen på apparatets front.

En forveksling giver meget bekvemme beregninger. Beskyttelsesapparatet afbryder dog efter sin karakteristik, ikke efter projekterendes regnefejl.

RCD er den grundlæggende løsning. En undtagelse skal dokumenteres

EN 60204-1 peger på en fejlstrømsafbryder (RCD) som den grundlæggende måde at opnå fejlbeskyttelse i et TT-system sammen med passende overstrømsbeskyttelse. Et overstrømsværn alene kan anvendes, hvis en tilstrækkeligt lav fejlsløjfeimpedans er permanent og pålideligt sikret.

„Standarden tillader TT uden RCD.“ Ja. Beregningen ovenfor viser netop, hvorfor den mulighed ikke kan bruges i dette eksempel. En undtagelse i standarden ændrer ikke installationens fysiske egenskaber.

Ved brug af RCD kontrolleres blandt andet betingelsen Rₐ × IΔn ≤ 50 V, hvor Rₐ omfatter jordelektrodens og beskyttelseslederens modstand, og IΔn er den nominelle udløsende fejlstrøm. Den krævede afbrydelsestid skal dokumenteres separat.

For det beskrevne eksempel med en 16 A-slutkreds og 230 V AC mod jord angiver tabel A.2 en tid på 0,2 s. Opfyldelse af uligheden dokumenterer ikke i sig selv reaktionstiden. På samme måde dokumenterer montering af en RCD ikke automatisk korrekt valg og tilslutning.

RCD'en behøver ikke sidde inde i maskinens eltavle. Beskyttelsen kan leveres af et korrekt valgt apparat i den forsynende installation. Det afgørende er at fastslå, hvilket apparat der beskytter den pågældende kreds, og under hvilke betingelser. Leverancegrænsen er ikke en naturlov og bør ikke blive analysegrænsen.

Producenten skal angive kravene til tilslutningen. Bilag A.2 giver mulighed for at bruge data fra den kommende installation eller angive tilladte grænseværdier for seriefremstillede maskiner. Den maksimale jordmodstand eller fejlsløjfeimpedans, der er forudsat i projektet, skal fremgå af installationsoplysningerne.

„Tilsluttes håndværksmæssigt korrekt“ overfører ingen tal. Det overfører kun opgaven med at gætte, hvad den tidligere konstruktør anså for tilstrækkeligt.

Kapslingen kan være perfekt forbundet til PE, mens beskyttelsen stadig er ineffektiv. Den grøn-gule leder beskytter ikke alene; det gør den korrekt projekterede kreds.

5. IT-system uden overvågning: Produktionen må ikke stoppe

„Det er IT. Ved den første jordfejl afbryder systemet ikke.“ Fordelen er husket. Det står mere uklart, hvordan driften opdager, at den første fejl allerede er opstået.

Forestil dig et anlæg, hvor muligheden for fortsat drift udnyttes, men hvor der ikke er etableret overvågning, som opdager og signalerer en isolationsfejl. Maskinen producerer. Intet værn afbryder. Vedligeholdelsen får ingen fejlmelding.

Man har valgt et system, hvor en fejl ikke nødvendigvis afslører sig gennem stilstand, og derefter undladt at opdage den. Det forbedrer naturligvis statistikken over rapporterede fejl.

Hvad er det egentlig, der er isoleret?

I et IT-system er de aktive dele isoleret fra jord, eller forsyningens punkt er forbundet til jord gennem en tilstrækkeligt høj impedans. Det betyder ikke, at maskinens metaldele skal stå uden beskyttelsesforbindelse og jordforbindelse.

Ved den første isolationsfejl begrænses jordstrømmen af systemets egenskaber, herunder isolationsimpedansen, kapacitanserne mod jord og en eventuel impedans ved forsyningskilden. Når beskyttelsesbetingelserne er opfyldt, er øjeblikkelig afbrydelse ikke nødvendig.

Det giver tid til at lokalisere og fjerne fejlen uden pludseligt processtop. Det giver ikke ret til at gøre beskadiget isolation til den nye normaltilstand.

Derfor er overvågning nødvendig. Isolationsovervågningsudstyr (IMD) overvåger isolationsmodstanden i det dækkede system mod jord og signalerer, når den falder under den fastsatte værdi.

En isolationsmåling ved overtagelsen erstatter ikke løbende overvågning under drift. Målerapporten dokumenterer, hvad der blev målt den pågældende dag. Den tager ikke nattevagten.

At kvittere alarmen forbedrer ikke isolationen

EN 60204-1, punkt 6.3.3, henviser for IT-systemer til de relevante krav i IEC 60364-4-41. Standarden kræver også vedvarende akustisk og optisk signalering under isolationsfejlen. Det akustiske signal kan kvitteres manuelt, efter at det er afgivet.

Forskellen er vigtig. Man må bekræfte, at informationen er modtaget, og standse lyden. Man må ikke deraf konkludere, at årsagen er væk.

Antag, at IMD er monteret, men at operatørerne har lært at kvittere beskeden, fordi „maskinen jo kører normalt“. Alarmen kommer igen og bliver efterhånden betragtet som en fejl ved overvågningsudstyret.

Isolationen blev dårligere. Reklamationen gik til det apparat, der opdagede det.

Hvis brugerfladen efter kvittering viser normal drift, selv om fejlen stadig findes og ingen anden vedvarende optisk signalering er aktiv, er informationen fjernet fra skærmen, ikke fra installationen. Næste skift ved måske ikke, at det overtager et uløst problem.

Den anden fejl behøver ikke opstå i samme maskine

Den første fejl kan forbinde fase L1 med kapslingen på ét apparat. Den næste kan forbinde fase L2 med kapslingen på et andet apparat i det samme IT-system. Via de fælles beskyttelsesforbindelser opstår der så en strømvej mellem faserne.

Nu skal den krævede automatiske afbrydelse være sikret. Forklaringen „den første jordfejl afbryder ikke“ beskriver ikke længere den aktuelle situation.

Isolationsovervågning og beskyttelse, der afbryder ved en efterfølgende fejl, udfører forskellige opgaver. IMD erstatter ikke afbrydende beskyttelsesapparater. Omvendt erstatter forventningen om afbrydelse ved fejl nummer to ikke registreringen og håndteringen af fejl nummer ét.

En kendt fejl, der får lov til at blive, fjerner den fordel, som IT-systemet blev valgt for. I stedet for at bruge informationen til at planlægge en reparation venter virksomheden på, at den næste fejl selv fastlægger tidspunktet for stoppet.

„Overvågningen sidder i fordelingstavlen.“ Fint. Hvor ender alarmen?

Manglende IMD i maskintavlen betyder ikke nødvendigvis manglende overvågning. Et centralt apparat kan dække det relevante forsyningssystem. Men det faktiske overvågningsområde skal fastlægges. Det er ikke nok at finde et apparat med det rigtige navn.

Hvilke kredse overvåger det? Omfatter det maskinen i alle planlagte forsyningskonfigurationer? Hvor vises alarmen? Hvem har ansvaret for at reagere?

Ved overtagelsen kontrolleres indstillingerne og hele signalvejen efter apparatets instruktioner. Informationen skal nå et sted, hvor den bliver bemærket, forblive tilgængelig under fejlen og føre til en aftalt handling.

En lysdiode inde i en aflåst fordelingstavle kan bevise, at apparatet arbejder. Den gør meget lidt for de medarbejdere, som ikke ved, at den findes.

Leverandøren regnede med, at virksomheden håndterede alarmen. Virksomheden regnede med, at leverandøren havde ordnet alt. Isolationen deltog ikke i aftalen.

6. „Ved frekvensomformere bruger vi ikke RCD“

Fejlstrømsafbryderen udløser, når drevene kobles ind. Efter nogle stop fjerner nogen den. Maskinen starter. Fejlmeldingen lukkes. Den uforklarede udløsning bliver til en regel for de næste projekter: Ved frekvensomformere monterer vi ikke RCD.

Konklusionen omfatter nu alle frekvensomformere. Ingen nåede at fastslå, hvorfor netop denne kreds blev afbrudt.

Udsagnet „denne RCD passer ikke til kredsen“ kan være helt korrekt. Konklusionen „så kredsen behøver ikke længere den beskyttelse, som RCD'en skulle levere“ er fri digtning.

Lækstrømmen venter ikke på en isolationsfejl

Et fungerende elektrisk drev kan give strømme mod jord uden nogen isolationsfejl. Drivsystemets konstruktion, EMC-filtre, motorkablernes kapacitanser og koblingsfrekvensen har betydning. Dertil kommer transienter ved indkobling.

En RCD reagerer på fejlstrømmen efter sine egne egenskaber. Den modtager ikke en besked fra styringen om, at „det kun er opladning af kapacitanser, så produktionen må gerne fortsætte“.

Udløsningen kan derfor skyldes, at beskyttelsesapparatet ikke passer til normalt fungerende udstyr. Den kan også pege på en reel fejl. En frekvensomformer på diagrammet afgør ikke, hvilken situation man står i.

Strømmene skal undersøges under indkobling og drift. Deres form og frekvensindhold skal vurderes sammen med kredsens opbygning. Et drev med kort motorkabel og samme drev med langt kabel behøver ikke stille samme krav.

Flere drev bag en fælles RCD kræver vurdering af den samlede fejlstrøm. Valget for ét drev kan ikke bare kopieres. Strømmene forsvinder ikke, fordi hvert enkelt drev isoleret set passede til forudsætningerne.

Det er et projekteringsproblem. Fjernelse af apparatet fjerner dets reaktion, ikke årsagen til strømmen.

Manglende udløsning kan være den værste nyhed

Ved effektelektroniske drev skal fejlstrømmens form under fejltilstand også vurderes. Den kan indeholde en DC-komponent, som den valgte RCD ikke er konstrueret til.

En tilstrækkelig DC-komponent kan forringe et apparat af type AC eller A, så det ikke længere registrerer fejl som forventet. Denne såkaldte blænding kan få RCD'en til at forblive indkoblet, selv om den krævede beskyttelsesvirkning ikke længere er til stede.

Produktionsstatistikken ser fremragende ud. Beskyttelsesapparatet er holdt op med at genere driften, fordi det også er holdt op med at beskytte korrekt.

Apparatet behøver ikke være defekt. Det er nok at bruge det under forhold, hvor det ikke har de nødvendige egenskaber.

EN 60204-1, punkt 7.7, peger på, at RCD type B kan være nødvendig, når fejlstrømme med DC-komponenter kan forekomme. Det konkrete valg skal derefter vurderes ud fra kredsens opbygning og drevproducentens anvisninger.

Bestillingen „en RCD til frekvensomformeren“ løser ikke opgaven. Typen angiver evnen til at reagere på bestemte strømformer. Udløsestrøm, frekvenskarakteristik, reaktionstid og anvendelsesbetingelser skal stadig fastlægges.

Blikket skal også løftes ud af maskintavlen. En DC-komponent, der passerer gennem en type B-enhed under dens udløsegrænse, kan påvirke fælles beskyttelsesapparater længere oppe i installationen. En korrekt RCD ved drevet dokumenterer ikke automatisk, at hele beskyttelsessystemet fungerer korrekt.

„Så vælger jeg bare en højere grænse“ kræver også beregninger

En højere nominel udløsestrøm eller en tidsforsinkelse kan begrænse uønskede afbrydelser. Men løsningen skal stadig opfylde betingelserne for den beskyttelse, RCD'en leverer.

I TT-eksemplet påvirker en ændret udløsestrøm betingelsen for jordmodstanden. En forsinkelse påvirker afbrydelsestiden. Parametrene kan ikke justeres, indtil maskinen endelig holder op med at standse.

En grænse valgt efter metoden „den udløser stadig, så gå et trin højere“ er dokumenteret i forhold til produktionslederens tålmodighed. Beskyttelsen mod elektrisk stød skal vurderes separat.

Den rigtige løsning kan være en anden RCD, opdeling af kredsene, reduktion af lækstrømme med metoder godkendt af producenten eller et andet beskyttelseskoncept. Afbrydelse af beskyttelseslederen er ikke et beskyttelseskoncept. Vilkårlig frakobling af EMC-filteret kan blot flytte problemet fra udløsende beskyttelse til forstyrrede målinger og styringer.

Ikke alle maskiner med frekvensomformer skal have RCD. Hvis de krævede beskyttelsesforanstaltninger er effektivt etableret på anden måde, kan fraværet være begrundet. Begrundelsen er dokumenteret beskyttelsesvirkning, ikke frekvensomformerens tilstedeværelse.

En fjernet RCD giver ganske rigtigt ingen produktionsstop. Det er bare ikke et positivt resultat af prøvningen af beskyttelsen mod elektrisk stød.

7. Bestod maskinen prøven, eller gjorde holdet, der reddede den?

Under overtagelsen af linjen korrigerer procesteknologen en indstilling, automatikteknikeren ændrer konfigurationen, og operatøren starter cyklussen igen. Efter nogle forsøg opfylder produktet kravene. Protokollen får et positivt resultat.

Alle indgrebene blev betragtet som almindelig hjælp under idriftsættelsen. Ingen fastlagde, hvilke ændringer der fjernede årsagen, og hvilke der fremover skal gentages i produktionen.

Maskinen blev godkendt på grundlag af flere specialisters fælles indsats. Betjeningsvejledningen regner med én operatør.

Korrektioner under prøven er også resultater

Idriftsættelse kræver regulering. Problemet er ikke, at parametre ændres før overtagelsen. Problemet opstår, når maskinen accepteres uden dokumentation for, at den efter reguleringen opfører sig som forudsat.

Hvis uplanlagte korrektioner stadig er nødvendige under den egentlige prøve, skal de registreres. Hvad blev ændret? Hvorfor? Blev hele det relevante forløb prøvet igen, eller ventede man blot på det første gode produkt?

Det første fejlfri emne kan afslutte diskussionen hurtigere end en fjernet fejlårsag. Især når transporten allerede er bestilt.

Ved en forstyrret måling er produktkvaliteten ikke nok. Målesignalets troværdighed skal bekræftes under de forventede driftsforhold, og det skal kontrolleres, om de ekstra operatørindgreb er ophørt. Ellers kan kunden få et korrekt prøveprodukt og en ustabil proces til daglig drift.

Planlagte operatøropgaver er ikke en fejl ved automatiseringen. Midlertidig redning af en dårlig funktion må derimod ikke forsvinde fra vurderingen, bare fordi medarbejderen udfører den dygtigt. Det gælder især, når opgaven kræver hyppigere adgang til fareområdet end forudsat ved valg af beskyttelsen.

Observer derfor også mennesket under overtagelsen. Ikke for at undersøge, om operatøren fortjener maskinen. For at fastslå, hvad maskinen faktisk kræver af operatøren.

Måleinstrumentet udfører ikke resten af overtagelsen for os

„De elektriske målinger er godkendt.“ Fint. Hvilke krav blev kontrolleret med dem?

EN 60204-1, kapitel 18, henviser til verifikationsomfanget i den relevante produktspecifikke standard. Hvis en sådan ikke findes, omfatter verifikationen blandt andet overensstemmelse mellem udførelse og dokumentation, kontinuitet i beskyttelsesforbindelseskredsen, betingelserne for automatisk afbrydelse, når denne metode bruges som fejlbeskyttelse, samt funktionsprøvning.

Isolationsmåling og spændingsprøve er angivet særskilt. De erstatter ikke de andre kontroller. Ikke alle punkter har heller samme anvendelsesbetingelser. Omfanget følger det konkrete udstyr og de relevante krav. Drejeknappen på det måleinstrument, man tilfældigvis ejer, er ikke standardens indholdsfortegnelse.

En god kontinuitetsmåling forklarer ikke, om værnet afbryder den rigtige kreds inden for den krævede tid. Den bekræfter heller ikke, at isolationsalarmen når operatøren, eller at temperaturmålingen forbliver troværdig, mens drevene arbejder.

Overensstemmelse med diagrammet har også en grænse. Hvis udførelsen trofast gentager en projekteringsfejl, kan sammenligningen mellem dokumentation og maskine være perfekt. Man har dokumenteret, at fejlen blev udført omhyggeligt. Ikke at den er acceptabel.

Efter en rettelse skal tidligere resultaters gyldighed vurderes igen

Under idriftsættelsen blev en beskyttelsesindstilling ændret, et apparat udskiftet eller kabler flyttet. Dokumentation og prøveresultater skal vedrøre den udførelse, der faktisk afleveres til brugeren.

Standarden kræver, at behovet for ny verifikation og nye prøver efter ændringer overvejes. Omfanget afhænger af ændringernes indvirkning på udstyret. Alt behøver ikke gentages mekanisk, men et gammelt resultat omfatter ikke automatisk en senere rettelse, bare fordi begge dele blev udført samme dag.

Datoen i protokollen passer. Det apparat, som målingen gjaldt, er allerede taget ud af tavlen.

Registreringen bør beskrive den prøvede konfiguration, væsentlige indstillinger, prøvebetingelser og acceptkriterier. Afvigelser og deres afslutning skal fremgå. Så kan man fastslå, hvad der faktisk er dokumenteret, uden at rekonstruere hele idriftsættelsen fra deltagernes hukommelse.

En korrektion, der fjernede fejlårsagen, er et resultat af ingeniørarbejde. En korrektion, der fremover skal gentages hver time, er et nyt krav til betjeningen. Overtagelsen skal kende forskellen, før begge dele skrives ind som „maskinen er indreguleret“.

Hvis mennesker hele tiden rettede maskinen under prøven, er deres indsats en del af prøveresultatet. Den kan ikke trækkes fra, når protokollen underskrives.

8. En fabriksvane reparerer ikke konstruktionen

En dårligt udført installation kan betales ved købet og derefter igen hver dag gennem operatørtid, procesteknologers arbejde og gentagne stop. Efter nogle år er regningen så godt blandet ind i produktionsomkostningerne, at et forslag om at fjerne årsagen lyder som unødvendig besværliggørelse.

Der er aldrig tid til ét planlagt stop for at rette konstruktionen. Der findes mærkeligt nok altid tid til dagligt at rette dens følger.

Den erfarne medarbejders viden bør i denne situation føres tilbage til konstruktøren. Medarbejderne kan fortælle, hvornår målingen mister troværdighed, hvad idriftsættelsen faktisk kræver, og hvilke aktiviteter der gentages, selv om de skulle være sporadiske.

Deres opfindsomhed er værdifuld information om maskinen. I eksemplerne her blev den primært brugt til at udsætte reparationen.

Anvendelse af EN 60204-1 kræver, at projektet konfronteres med det virkelige udstyr og de virkelige driftsforhold. Beskyttelsens funktion, løsningernes egnethed og sammenhængen mellem forudsætninger og faktisk betjening skal kunne dokumenteres.

Mange års praksis leverer ikke de manglende beregninger eller prøveresultater. Næste gang nogen siger „sådan er den maskine bare“, bør svaret være et spørgsmål om årsagen.

Hvis forklaringen er navnet på den eneste operatør, der kan holde produktionen kørende, har man lært noget om medarbejderens kompetence. Konstruktionen mangler stadig at forsvare sig.

Medarbejdere kan lære at håndtere en maskinfejl. Det gør ikke fejlen til et proceskrav.

Kilder og noter

De punktnumre fra PN-EN 60204-1, der omtales nedenfor, vedrører den polske udgave PN-EN 60204-1:2018-12, som indfører EN 60204-1:2018 i Polen. Den europæiske udgave indfører IEC 60204-1:2016 med ændringer. Betegnelserne må derfor ikke læses som dokumentation for, at alle formuleringer er identiske.

De eksterne henvisninger fører til ISO, IEC og Europa-Kommissionens katalog- og informationssider. Siderne identificerer publikationerne og deres anvendelsesområde, men erstatter ikke standardernes fulde tekst.

1. Elektrisk udstyr som del af maskinsikkerheden. PN-EN 60204-1:2018-12, punkt 4.1, 4.2.1 og 4.4.1, om sammenhængen med maskinens risikovurdering, virkninger af fejl og valg af udstyr til de forventede anvendelsesforhold. Den internationale grundpublikation er IEC 60204-1:2016 – IEC-kataloget. De konkrete punkthenvisninger i artiklen vedrører den angivne polske udgave med europæiske ændringer.
2. Kabelføring, EMC og termoelementmåling. PN-EN 60204-1:2018-12, punkt 4.4.2 og 13.1.3 samt informativt bilag H, punkt H.2–H.4, om emission, immunitet, fælles kabelføring, adskillelse og forbindelser, der begrænser forstyrrelser. Termoelementernes referencekarakteristik er behandlet i IEC 60584-1:2013 – Termoelementer, del 1: elektromotoriske spændinger og tolerancer. Diagnostikken i artiklen er en ingeniørmæssig fremgangsmåde, ikke en rapport fra målinger på to konkrete linjer.
3. Hyppigere indgreb, pålidelighed og valg af beskyttelse. ISO 12100:2010, punkt 5.5.2.3.1 og 5.5.3.2, om behov, hyppighed, varighed og karakter af eksponering under opgaver; punkt 6.2.13 om at begrænse behovet for indgreb gennem pålideligt udstyr, også uden for sikkerhedsfunktioner; samt punkt 6.3.2.1 om valg af afskærmninger efter adgangsbehov. En ændret adgangshyppighed gør ikke automatisk hele risikovurderingen ugyldig og kræver ikke automatisk et højere ydelsesniveau. Den kræver, at begrundelsen vurderes igen.
4. Farver og brugerfladens betydning. PN-EN 60204-1:2018-12, punkt 10.2.1, 10.3.1–10.3.3 og tabel 4. Farvekodningen og anbefalingen om at undgå en almindelig rød STOP tæt ved et nødstop har i denne udgave karakter af anbefalinger. Rød almindelig STOP er tilladt, mens kombinationen af rødt betjeningselement og gul baggrund er forbeholdt nødhandling.
5. Beskyttelse i TT og regneeksemplet. PN-EN 60204-1:2018-12, punkt 6.3.3, bilag A, punkt A.2.1–A.2.3, tabel A.2 og punkt 17.2. Grundlaget omfatter koordinering af beskyttelsen, betinget anvendelse af overstrømsværn, relationerne Zₛ × Iₐ ≤ U₀ og Rₐ × IΔn ≤ 50 V, afbrydelsestid og installationsdata. Værdierne 230 V, 23 Ω og 16 A er modeldata. Resultatet 10 A er beregnet uden belastningsstrøm og med ubetydelig fejlmodstand. Tiden 0,2 s gælder det beskrevne eksempel og er ikke en universel tid for alle TT-kredse.
6. Isolationsovervågning i IT. PN-EN 60204-1:2018-12, punkt 6.3.3, om henvisningen til IEC 60364-4-41:2005+AMD1:2017 – Beskyttelse mod elektrisk stød, akustisk og optisk signalering samt manuel kvittering af lydsignalet. Krav til udstyr til løbende overvågning af isolationsmodstand mod jord findes i IEC 61557-8:2014 – Isolationsovervågningsudstyr til IT-systemer. Scenarierne i artiklen forklarer principperne, men erstatter ikke den fulde projektering af et konkret system.
7. RCD ved frekvensomformere. PN-EN 60204-1:2018-12, punkt 6.3.3 om fejlbeskyttelse, punkt 7.7 om supplerende beskyttelse og mulig nødvendighed af type B ved DC-komponenter samt punkt 4.2.1 og 18.2.1 om leverandøranvisninger og verifikation. Supplerende standardhenvisninger er IEC 62423:2009 – krav og prøvning for RCD type F og B inden for standardens anvendelsesområde samt IEC 60364-5-53:2019+AMD1:2020+AMD2:2024 – valg og installation af beskyttelses-, koblings-, styrings- og overvågningsudstyr. Beskrivelsen af lækstrømme, DC-komponenter og apparaternes samvirke er en teknisk forklaring, ikke en fuldstændig dimensioneringsvejledning.
8. Verifikation og ændringer under idriftsættelsen. PN-EN 60204-1:2018-12, punkt 18.1, 18.2.1–18.2.3, 18.6 og 18.7, om verifikationsomfang, adskilte prøver, dokumentation af resultater, funktionsprøvning og behovet for nye prøver efter ændringer. Punkt 17.2 omfatter blandt andet installationsdata, indstillinger, vedligeholdelse og information om kontrol efter reparation eller ændring.
9. Grundudgave, senere ændringer og harmonisering. IEC har offentliggjort IEC 60204-1:2016/AMD1:2021. Punktnumre og beskrivelser i artiklen er kontrolleret mod grundudgaven PN-EN 60204-1:2018-12; artiklen er ikke en gennemgang af senere IEC-ændringer eller deres europæiske indførelse. For et konkret projekt skal det relevante udgaveniveau, ændringer, en eventuel type C-standard og installationskrav fastlægges særskilt. Europa-Kommissionen offentliggør oplysninger om harmoniserede standarder for maskiner. Henvisningen afgør ikke status for en bestemt udgave.
10. Eksemplernes karakter. De organisatoriske situationer, adgangsscenarier, beregningsdata og tabeller forklarer tekniske sammenhænge. De er ikke målerapporter fra konkrete installationer eller komplette overtagelsesprocedurer. Diagnostikken i afsnit 1 er en foreslået måde at finde årsagen på, ikke en obligatorisk prøverækkefølge. Tabellen i afsnit 7 er heller ikke en fuldstændig verifikationsplan efter EN 60204-1. Den viser situationer, hvor et sandt udsagn om maskinen bliver brugt til at begrunde en langt bredere konklusion.