“Hvis der opstår fare, trykker operatøren på nødstopknappen.” Sådan kan man forsøge at lukke enhver diskussion om maskinsikkerhed. Knappen er monteret, kredsløbet virker, og under testen stoppede maskinen. Tilbage står blot at antage, at et menneske opdager faren, reagerer hurtigt nok og gør det, som konstruktionen eller beskyttelsen af arbejdsstedet aldrig sørgede for.
Konstruktøren kan ikke bogføre operatørens reaktionsevne som erstatning for manglende sikkerhedsforanstaltninger. En forebyggende sikkerhedsfunktion skal forhindre en bestemt farlig hændelse. En nødstopfunktion skal gøre det muligt at gribe ind over for en eksisterende eller truende nødsituation, bremse dens udvikling og begrænse skaden. Den kan være med til at forhindre en personskade. Men den bliver ikke af den grund en erstatning for den beskyttelse, der skulle have forhindret hændelsen.
Det er forskellen mellem at levere beskyttelse og at håbe på en vellykket indgriben. Den forskel må ikke forsvinde i risikovurderingen under den bekvemme formulering “der er anvendt et sikkerhedssystem”. ISO 13850 beskriver nødstop som en supplerende beskyttelsesforanstaltning. Ikke fordi nødstop er uvigtigt, men fordi det skal supplere de øvrige sikkerhedsforanstaltninger – ikke undskylde, at de mangler.
Her stopper misforståelserne ikke. Den næste begynder ofte med ordene: “Når der trykkes, afbryder vi alt.” Det lyder konsekvent. Problemet er bare, at en standset maskine ikke nødvendigvis er en sikker maskine. En person kan stadig være fastklemt, og frakobling af udstyr, der skulle beskytte personen, kan gøre situationen værre.
Stilstand alene fortæller ikke, om faren er under kontrol. En nødstopfunktions opgave kan derfor ikke reduceres til at koble flest mulige komponenter fra. Man skal fastlægge, hvilke farlige bevægelser og handlinger der skal ophøre, i hvilken rækkefølge det skal ske, og hvad der fortsat skal fungere for at beskytte mennesker. I visse anvendelser kan der være behov for yderligere beskyttende handlinger – ikke kun et stop.
Operatøren skal kunne udløse reaktionen med én handling. Før trykket må personen ikke være nødt til at overveje, om frakoblingen bliver farligere end den aktuelle situation. Det spørgsmål skal være afgjort under projekteringen. Jo enklere den menneskelige indgriben skal være, desto mindre plads er der til uovervejede maskinreaktioner.
Hvis afleveringsprøven kun kontrollerer, om drevet stopper, kan man bekræfte et stop uden at besvare det vigtigste spørgsmål: Udførte maskinen den rigtige handling over for nødsituationen? Notatet “E-STOP virker” forklarer hverken, hvad den øvrige beskyttelse skal forhindre, eller hvad der sker med personen efter aktiveringen. Muligheden for at stoppe maskinen beviser ikke, at beskyttelsen er rigtig. Og ophørt bevægelse betyder ikke altid, at faren er væk.
Et nødstop er ikke den manglende afskærmning malet rød. Det er en mulighed for at gribe ind, når en nødsituation allerede findes eller er på vej.
1. Forebyggelse og nødreaktion løser ikke samme opgave
“Lysgitteret stopper maskinen. Nødstopknappen gør det også. Hvorfor gøre det så kompliceret?” Hvis en sikkerhedsforanstaltnings virkning kun blev bedømt på, om motoren til sidst standsede, ville spørgsmålet være rimeligt. Man kunne sammenligne to diagrammer, finde den samme kontaktor og konkludere, at forskellen mest handlede om pris.
Men så har man overset, hvornår maskinen stopper, og hvad der kan ske med personen indtil da. En forebyggende sikkerhedsfunktion skal forhindre en bestemt farlig hændelse. En nødstopfunktion skal modvirke en eksisterende eller truende nødsituation. Begge kan kræve, at bevægelsen stopper. Det betyder ikke, at de løser samme problem.
Et lysgitter skal ikke meddele, at hånden allerede nåede værktøjet
Tag en arbejdsstation, hvor en person kan nå et bevægeligt værktøj. Antag, at adgangen kan beskyttes med et lysgitter: Den farlige bevægelse kan stoppes under cyklussen, og værktøjet kan ikke nås uden at passere detekteringsfeltet.
Lysgitteret registrerer hånden og indleder stoppet. Afstanden til værktøjet tager højde for hele systemets reaktionstid og maskinens efterløb. Den farlige bevægelse skal være ophørt, før personen kan nå den. Det er funktionens opgave. Ikke blot at skifte udgangene eller vise meddelelsen “sikkerhedsstop” på betjeningspanelet.
Hvis hånden kan nå det bevægelige værktøj, inden maskinen står stille, er der ikke leveret beskyttelse mod kontakten. Det gælder også, selv om lysgitteret reagerede korrekt, styringen modtog signalet, og drevet udførte kommandoen. Alle komponenter kan fungere præcis som projekteret, mens selve projektet er forkert.
Derfor består kontrollen af et lysgitter ikke bare i at bryde strålerne. Det skal påvises, at detekteringen og stoppet faktisk forhindrer den hændelse, som funktionen skulle beskytte imod.
Ved nødstop skal et menneske indlede indgrebet
En nødstopanordning overtager ikke opgaven med at detektere adgang. Den skal gøre det muligt for et menneske at udløse den planlagte reaktion i en situation, der kræver øjeblikkelig indgriben. Der behøver ikke allerede at være sket en personskade. ISO 13850 omfatter også en truende nødsituation.
En person kan opdage et farligt hændelsesforløb og trykke, før der sker skade. Personen kan også have behov for indgriben, mens den farlige påvirkning allerede står på. I det første eksempel udløses beskyttelsen, når lysgitteret registrerer hånden. Ved nødstop skal et menneske først erkende behovet og derefter handle. Den forskel forsvinder ikke ved at sige, at “begge stopper”.
Hvis lysgitteret fjernes fra eksemplet, og kun nødstopknappen bliver tilbage, sørger intet længere for automatisk stop, når hånden registreres. Mennesket får opgaven med både at opdage problemet og udløse reaktionen. Detekteringen er fjernet fra konstruktionen. I begrundelsen tilføjes så, at operatøren er instrueret. Besparelsen er reel. Den påståede sikkerhedsmæssige lighed er opdigtet.
Netop derfor beskriver ISO 13850 nødstop som en supplerende beskyttelsesforanstaltning og forbyder, at det bruges som erstatning for tekniske beskyttelsesforanstaltninger og andre nødvendige funktioner. Nødstop er også en sikkerhedsrelateret funktion. Det betyder ikke, at den kan tildeles en hvilken som helst beskyttelsesopgave.
Det samme relæ udvisker ikke forskellen
Funktioner kan dele styringskomponenter, hvis de relevante krav er opfyldt. Der er ingen grund til at gange antallet af komponenter bare for at gøre det. Men det skal fastlægges særskilt, hvad der udløser hver funktion, og hvilket beskyttelsesformål den har.
For lysgitteret kontrolleres beskyttelsen mod farlig kontakt. For nødstop kontrolleres den rigtige reaktion på den betragtede nødsituation, og den reaktion er ikke altid begrænset til stilstand. En prøve, hvor nødstopknappen aktiveres, beviser ikke, at en person ikke kan nå det bevægelige værktøj. På samme måde besvarer et korrekt anvendt lysgitter ikke alle spørgsmål om den nødvendige nødreaktion.
En fælles kontaktor kan begrundes. Ét fælles “opfyldt” kan ikke kopieres hen over to forskellige opgaver.
Samme kontaktor, samme motorstop – men ikke samme sikkerhedsfunktion. Tidspunktet, udløseren og formålet afgør forskellen.
2. “Operatøren når det” er ikke maskinbeskyttelse
Antag, at et tilgængeligt kædetræk er efterladt ved en arbejdsstation med manuel indføring. Risikoen for at blive grebet er identificeret. I risikovurderingen er følgende beskyttelsesforanstaltninger angivet: nødstopknap, mærkning og instruktion af operatøren. Efter at de er taget i betragtning, erklæres risikoen acceptabel.
Kæden er stadig tilgængelig. Medarbejderen udfører fortsat de samme opgaver lige ved siden af den. Farven på en celle i regnearket er ændret. Der var ikke budget til afskærmningen. Operatørens reflekser blev skrevet ind uden beregning.
Hvad reducerede egentlig risikoen?
Monteringen af en knap begrænsede ikke adgangen til drevet. Den reducerede ikke arbejdsfrekvensen i nærheden og fjernede ikke mekanismens evne til at gribe fat. Der blev etableret en mulighed for at udløse et nødstop. Nu skal det påvises, under hvilke omstændigheder indgrebet faktisk kan hjælpe.
Hvem opdager faren? Hvilke tegn gør den genkendelig? Kan personen nå nødstopanordningen? Er der tid mellem erkendelsen af situationen og skadens opståen til at handle effektivt? Svaret “operatøren er instrueret” afgør kun en del af spørgsmålene. Det dokumenterer forberedelse til bestemte handlinger. Det beviser ikke, at personen fysisk kan udføre dem i den konkrete situation.
En underskrift på en instruktionsliste forkorter ikke maskinens efterløb og forlænger ikke tiden før indtrækning. Nødstop kan forbedre muligheden for at undgå eller begrænse skade og er derfor ikke værdiløst i risikovurderingen. Men gevinsten skal knyttes til et konkret hændelsesforløb. Den må ikke tildeles automatisk, blot fordi der sidder en rød knap.
Hvis muligheden for effektiv indgriben ikke er påvist, kan formuleringen “E-STOP og instruktion” ikke i sig selv begrunde tilstrækkelig beskyttelse mod indtrækning.
Tiden blev målt fra trykket – ikke fra farens begyndelse
Under prøven står kontrollanten ved nødstopanordningen, ved præcis hvad der skal ske, og udløser stoppet. Målingen viser tiden fra aktivering til ophør af den farlige bevægelse. Det er et nødvendigt resultat, men det omfatter ikke det, der i virkeligheden skal ske først: faren skal opdages, behovet for indgriben skal erkendes, og handlingen skal udføres.
Styringens reaktionstid er fastlagt. For operatøren antages det bare, at tiden slår til. I den virkelige arbejdssituation kan medarbejderen have begge hænder optaget af at føre et emne ind. Personen kan være uden for knappens rækkevidde eller have behov for hjælp, netop fordi vedkommende ikke længere selv kan aktivere den.
Antagelsen om, at en anden person gør det, kræver også kontrol. Den anden skal være til stede, kunne se situationen og have mulighed for at handle. En hjælper dukker ikke op ved maskinen, fordi ordene “hjælp fra kollega” blev skrevet ind i risikovurderingen.
Derfor vurderes nødstopanordningens tilgængelighed i forhold til de steder og arbejdsopgaver, hvor indgriben kan blive nødvendig. Ikke kun fra positionen foran betjeningspanelet under afleveringsprøven.
Et fuldt funktionsdygtigt system kan modtage kommandoen for sent. Det er ikke en relæfejl, som diagnosticeringen opdager. Det er en uprøvet antagelse om menneskets rolle. En kortere reaktionstid i styringen løser intet, hvis det afgørende problem ligger før knappetrykket.
“Udvis særlig agtpågivenhed” – helst hele skiftet
Ved arbejdsstationen står der: “Operatøren skal udvise særlig agtpågivenhed, konstant overvåge maskinen og straks bruge nødstop ved fare.” Sætningen passer til næsten enhver maskine. Netop derfor forklarer den så lidt.
Antag, at operatøren skal tage færdige produkter ud, kontrollere kvaliteten og lægge dem i en beholder bag arbejdsstationen. Samtidig kræver instruktionen “uafbrudt overvågning af fareområdet”. For at lægge produktet fra sig må personen vende sig om. Operatøren tilsidesætter ikke instruktionen, bruger ikke telefonen og opfinder ikke sin egen arbejdsmetode. Personen udfører den opgave, som konstruktøren har planlagt.
Den samme konstruktør har gjort sikkerheden afhængig af, at operatøren ser i den modsatte retning. Betjeningen er planlagt til én person. Den krævede opmærksomhed tilsyneladende til to.
I den situation løser kommandoen “stop straks” ikke problemet. Nogen skal først opdage, at et stop er nødvendigt. Hvis sikkerhedskonceptet bygger på konstant observation, mens de planlagte opgaver afbryder observationen, modsiger forudsætningerne hinanden. Ordet “særlig” foran “agtpågivenhed” fjerner ikke modsætningen. Det hæver blot kravet til operatøren uden at ændre betingelserne.
Pointen er ikke, at advarsler skal fjernes fra brugsanvisningen. Pointen er, at en advarsel ikke må udføre det arbejde, der blev sprunget over under projekteringen. Information til brugeren har sin plads i risikonedsættelsen. Den erstatter ikke korrekt anvendelse af konstruktive og tekniske beskyttelsesforanstaltninger.
Det samme gælder nødstopfunktionen: Den supplerer sikkerhedsforanstaltningerne. Den flytter ikke deres opgave over på menneskets konstante årvågenhed. Beskyttelsen skal derfor også vurderes, mens operatøren korrekt udfører den opgave, der vender opmærksomheden væk fra maskinen. Man skal ikke først efter hændelsen spørge, hvorfor personen netop da ikke kiggede.
“Pas på, operatør” kan være en advarsel. Det er ikke en teknisk beskyttelsesforanstaltning leveret som en sætning.
En underskrift på instruktionen forkorter ikke efterløbet. Og ordet “forsigtig” bliver ikke til en afskærmning, uanset hvor fed skriften er.
3. En standset maskine kan stadig være farlig
Funktionsbeskrivelsen siger: “Når nødstop aktiveres, standses drevene, og maskinen går til sikker tilstand.” Første del kan kontrolleres: Drevene frembringer ikke længere den farlige bevægelse. Anden del kræver en afklaring af, hvad der ud over bevægelsen truer personen, og hvad der skete med denne fare.
Det er let at skrive “sikker tilstand” efter ordet “stop”. I maskinens konstruktion opstår forbindelsen ikke på grund af et komma. Ophørt bevægelse kan afbryde udviklingen af nødsituationen, men stadig efterlade en person under tryk, fastklemt eller uden mulighed for at komme fri. Maskinen behøver ikke udføre endnu en cyklus for fortsat at kunne forvolde skade.
Hastigheden blev nul. Klemkraften gjorde måske ikke
Betragt et valseværk, hvor fjedre presser den ene valse mod den anden. Antag en nødsituation: En arm eller et ben er blevet grebet, E-STOP aktiveres, og rotationen stopper. Den fortsatte indtrækning afbrydes, men valserne forbliver sammenpressede. Drevet udførte sin kommando. Fjedrene virker også præcis som projekteret. Personen sidder stadig i klemme.
Det betyder ikke, at stoppet var unødvendigt eller ineffektivt til at afbryde indtrækningen. Det betyder, at det ikke løste hele situationen. At standse den farlige bevægelse og at gøre frigørelse mulig er to forskellige opgaver, som skal koordineres.
Hvis analysen omfatter indtrækning, skal den også afklare, hvordan personen kan frigøres. Konstruktionen kan kræve, at elementer adskilles, at klemkraften frigives, eller at der udføres en korrekt projekteret bevægelse i modsat retning. Ingen af handlingerne er automatisk rigtig for enhver maskine. Problemet er ikke løst, blot fordi det, der klemmer, ikke længere bevæger sig.
ISO 13850 reducerer ikke nødreaktionen til stilstand
Standarden åbner for, at nødstopfunktionen kan indlede andre funktioner end et stop, blandt andet en vending eller begrænsning af bevægelsen. Formålet er at begrænse muligheden for skade – ikke at opnå det størst mulige antal frakoblede udgange.
Farlige bevægelser og handlinger skal standses. Heraf følger ikke, at enhver bevægelse under nødreaktionen pr. definition er forbudt. En korrekt projekteret bevægelse kan beskytte en person. Men ordet “korrekt” er ikke pynt.
Ved overvejelse af en omvendt bevægelse skal det afgøres, om den faktisk hjælper i den betragtede fastklemning. Kan den forværre skaden? Skaber den et nyt indtrækningssted? Hvad sker der med klemkraften? Hvilket bevægelsesområde og hvilken betjeningsform er nødvendig? At skifte fortegn på den indstillede hastighed er ikke et færdigt redningskoncept, selv om programændringen kun fylder én linje.
ISO 13850 peger på muligheden for sådanne handlinger, men fastlægger ikke detaljerede krav til deres udførelse. En henvisning til standarden beviser derfor ikke, at en vilkårlig vending eller åbning af mekanismen er sikker. Det kræver vurdering af den konkrete løsning.
Stoppet må ikke fjerne muligheden for frigørelse
Der skal skelnes mellem en ekstra handling, der er integreret i reaktionen på E-STOP, og en særskilt funktion til frigørelse efter stoppet. I det første tilfælde er handlingen en del af den projekterede nødreaktion. I det andet udfører stoppet ikke hele frigørelsen, men bevarer muligheden for at gennemføre den med egnede midler.
Ikke enhver maskine skal automatisk åbne sine elementer eller køre baglæns efter et tryk. ISO 13850 kræver derimod, at nødstop ikke påvirker andre beskyttelsesfunktioner negativt. Frigørelse af fastklemte personer nævnes udtrykkeligt.
Det er vigtigt, når forklaringen lyder: “Personen kan frigøres, men først skal normal drift genetableres.” En frigørelsesfunktion skal gøre redning mulig. Den skal ikke give adgang til alle produktionsbevægelser igen i håbet om, at nogen kun bruger den rigtige. Betingelserne for aktivering, de tilgængelige bevægelser og deres begrænsning skal være projekteret på forhånd – ikke opfindes, når en person allerede har brug for hjælp.
Efter stoppet skal man derfor kunne besvare mere end “hvad står stille?”. Man skal også vide, hvilken farlig påvirkning der fortsætter, og hvad der er planlagt for at bringe den under kontrol. En sikker tilstand opstår ikke, fordi en variabel i styringen har fået det navn. Tilstanden skal leveres fysisk i maskinen – også til den person, der ikke selv kan komme fri.
Stilstand er en måling. Sikker tilstand er et resultat. De to er ikke automatisk det samme.
4. Derfor kan frakobling af alt gøre situationen værre
“Når nødstopknappen aktiveres, slukker vi alle udgange.” Beskrivelsen er enkel. Programmet er også enkelt. Under afleveringen er det let at kontrollere, at alt blev mørkt. Men én udgang kan forsyne det drev, der skaber faren, mens en anden forsyner udstyret, der beskytter mod en anden fare. Frakobling af begge giver ikke nødvendigvis dobbelt sikkerhed.
ISO 13850 kræver, at nødstopfunktionen har prioritet, men forbyder samtidig, at den forringer andre beskyttelsesfunktioners virkning. Standarden peger også på, at hjælpeudstyr som elektromagnetiske løfteanordninger eller bremseudstyr kan være nødt til fortsat at fungere. Det er ikke en modsigelse. Det er en grund til at undersøge, hvad der faktisk forsynes, før man tegner én fælles frakobling.
Drevet skal stoppes. Lasten må ikke tabes samtidig
Antag, at en maskine flytter et stålemne med en elektromagnetisk løfteanordning, som kræver kontinuerlig strømforsyning. Fastholdelsen afhænger af magneten, og den konkrete konstruktion har ingen uafhængig sikring mod frigivelse.
Konstruktøren placerer både bevægelsesdrevene og magnetens forsyning bag samme frakobling. Når E-STOP aktiveres, kobles drevene fra. Magneten mister samtidig evnen til at holde lasten. Kommandoen blev udført fejlfrit – inklusive den del, der fjernede understøtningen af stålemnet.
Problemet er ikke en defekt knap eller en svejset kontaktor. Udstyret gjorde præcis, hvad der var projekteret. Fejlen består i at behandle alle elektriske forbrugere ens, alene fordi de bruger elektricitet.
Den rigtige opgave er at standse den farlige transport og samtidig bevare sikker fastholdelse af lasten. Løsningen skal vælges og verificeres til den konkrete konstruktion. Heraf følger ikke et universelt krav om at holde et bestemt kredsløb spændingssatt. Deraf følger et krav om, at fastholdelsen fortsat skal være effektiv.
“Men efter E-STOP bør der vel ikke være energi?” Tyngdekraften er ikke tilsluttet gennem vores kontaktor. Den kobles ikke fra sammen med den.
Brandslukningen kan også blive eksemplarisk frakoblet
Et andet eksempel: Maskinen har et brandslukningssystem, der kræver elektrisk forsyning for at blive aktiveret. Antag, at både styringen og udløseren til slukningsmidlet forsynes gennem det kredsløb, som E-STOP afbryder.
Materialet antændes. Operatøren aktiverer nødstop. Drevene stopper, men det brændende materiale udgør fortsat en fare. Brandslukningen kan ikke længere udføre sin opgave, fordi dens forsyning netop er blevet afbrudt.
Brandslukningssystemet virker. Man skal bare sikre sig, at ingen bruger nødstop først under branden. Sådan en betingelse hører ikke hjemme i et forsvarligt projekt.
ISO 13850 nævner brandslukning direkte som eksempel på en beskyttelsesfunktion, der ikke må påvirkes negativt af nødstop. Det betyder ikke, at hele processen skal fortsætte uændret under brand. Den rigtige reaktion skal fastlægges: Hvilke handlinger skal afbrydes? Hvilke farekilder skal kobles fra? Hvordan bevares brandsikringens virkning? “Sluk alt” besvarer ingen af spørgsmålene. Formuleringen springer bare over dem.
Stopkategori 0 betyder ikke “hele maskinen uden spænding”
ISO 13850 angiver, at nødstop skal udføres med stopkategori 0 eller 1, valgt på grundlag af risikovurderingen. Ved stopkategori 0 afbrydes energien til maskinens aktuatorer straks. Det betyder ikke nødvendigvis, at bevægelsen ophører øjeblikkeligt; yderligere bremsning kan være nødvendig.
Ved stopkategori 1 er energien til aktuatorerne tilgængelig under det kontrollerede stop, hvorefter energitilførslen afbrydes, når stoppet er opnået. Stopkategorien beskriver stoppets udførelse. Den er ikke en ordre om at koble alle enheder på samme diagram fra.
Valget af kategori fritager derfor ikke konstruktøren for at kontrollere magneten, bremsen eller brandslukningen. Kontaktorens udkoblingstid afgør heller ikke i sig selv, om den farlige bevægelse ophørte på den rigtige måde, eller om stoppet skabte en ny fare.
Det handler ikke om at lade farlige handlinger fortsætte under påskud af at “bevare beskyttelsen”. Det handler om at adskille to opgaver: Stop det, der er farligt, og sæt ikke det ud af funktion, som fortsat skal beskytte.
De frakoblede alt. Så grundigt, at de også frakoblede det, der skulle beskytte personen. Det repareres ikke med bemærkningen “nødstop i henhold til standarden”.
At slukke mere er ikke automatisk at beskytte bedre. Tyngdekraft, resttryk og brand følger ikke ledningsdiagrammets bekvemme logik.
5. Operatøren skal ikke gætte, om et tryk gør situationen værre
“Operatøren ved, hvad der skal slukkes først.” Det kan være en beskrivelse af en planlagt nedlukning af en linje. Som forklaring på nødstop betyder det derimod, at en del af styringens opgave er overladt til menneskets hukommelse.
Personen skal opdage faren, huske afhængighederne mellem maskinerne og udføre den rigtige sekvens – helst uden fejl, fordi rækkefølgen angiveligt har betydning for sikkerheden. Hele produktionscyklussen er automatiseret. Ved det sikre stop besluttede man at stole på manuelt arbejde.
ISO 13850 kræver, at beslutningen om at aktivere nødstopanordningen ikke forudsætter overvejelse af følgerne. Mennesket skal erkende behovet for indgriben. Personen skal ikke samtidig afgøre, om knappetrykket forværrer situationen.
Én menneskelig handling betyder ikke én maskinhandling
Nødstopfunktionen indledes med én handling. Derefter skal farlige bevægelser og handlinger standses på den rigtige måde uden yderligere indgriben. Standarden anerkender, at dette kan kræve en på forhånd fastlagt sekvens.
Ét tryk kan altså sætte flere koordinerede handlinger i gang. Det betyder hverken, at alt skal afbrydes samtidigt, eller at operatøren selv skal slukke resten. Hvis sikkerheden kræver en bestemt rækkefølge, skal den fastlægges under projekteringen. Det samme gælder, hvilke handlinger der skal ophøre, hvad der skal forblive effektivt, og hvilken tilstand der skal opnås.
Formuleringen “sekventielt stop” besvarer endnu ingen af disse spørgsmål. Kravet betyder heller ikke, at enhver senere redningshandling skal automatiseres. Stoppet uden yderligere indgriben vedrører maskinens farlige handlinger. Særskilte midler til frigørelse kan kræve bevidst betjening efter den projekterede metode.
Det er én ting at betjene en frigørelsesfunktion. Det er noget helt andet først med endnu en knap at stoppe den bevægelse, der fortsat truer personen.
Hver leverandør stoppede sin del. Indføringen fortsatte
Betragt en linje til bearbejdning af lange profiler. Bearbejdningsmaskinen og indføringen har hver sin styring. Nødstopanordningen ved bearbejdningsmaskinen stopper værktøjet, men ikke indføringen, som fortsat skubber profilen ind i arbejdsområdet.
Antag, at den fortsatte materialebevægelse i den betragtede situation kan klemme en person. Værktøjet står allerede stille. Materialet bevæger sig stadig. Leverandørens forklaring er: “Indføringen har sin egen nødstopknap.” Det har den. Men personen har netop aktiveret anordningen ved farestedet og har stadig ikke fået den nødvendige reaktion.
Leverancegrænserne er klare. Nu mangler man bare at sikre, at nødsituationen også respekterer dem.
I sådan et system skal maskinernes samspil indgå i analysen. Stoppet skal også omfatte indføringen, hvis den fortsatte drift opretholder den betragtede fare. At hver maskine reagerer på sin egen knap, beviser ikke, at hele linjens nødreaktion er effektiv.
Det betyder ikke, at hver knap skal stoppe hele fabrikken. Det betyder, at virkeområdet ikke fastlægges efter tavlens grænse eller navnet på virksomheden, der skrev programmet.
“Hvilken nødstopknap?” skal afgøres før nødsituationen
Udgangspunktet i ISO 13850 er, at nødstopanordningen påvirker hele maskinen. Standarden tillader dog opdeling i virkeområder, eksempelvis når stop af alle sammenkoblede maskiner kan skabe yderligere fare eller påvirke produktionen unødigt.
En sådan opdeling kræver analyse af maskinernes placering, muligheden for at genkende faren, procesmæssige konsekvenser og sammenhængende risici. Områderne kan overlappe. Aktivering i ét område må ikke øge risikoen i et andet eller forhindre aktivering af nødstop dér.
Det er tilladt at undgå et unødvendigt produktionsstop. At lade en farlig indføring fortsætte bliver ikke af den grund til produktionsoptimering.
Personen skal kunne forbinde nødstopanordningen med faren og forstå dens virkeområde. Standarden peger på placering og piktogrammer og anbefaler at undgå løsninger, der kræver læsning af instruktioner eller forudgående indlæring af områdeinddelingen.
Mærkningen “S14” gør det muligt at finde knappen på diagrammet. Den fortæller ikke personen ved maskinen, hvilke enheder der stopper. El-dokumentation kan studeres ved skrivebordet. Under en nødsituation bør den del af arbejdet allerede være afsluttet.
Jo enklere menneskets handling skal være, desto grundigere skal maskinens reaktion være fastlagt på forhånd. En enkel grænseflade fritager ikke for analyse. Den skal være resultatet af analysen. I en nødsituation indkaldes ikke konstruktøren, automatikingeniøren og procesteknikeren til møde. Deres aftaler skal allerede ligge i projektet.
Leverancegrænser stopper ikke materiale, tryk eller tyngdekraft. Nødsituationen er ligeglad med, hvem der programmerede hvilken tavle.
6. Notatet “E-STOP virker” erstatter ikke en vurdering
“Alle knapper er kontrolleret. Resultat: godkendt.” Protokollen indeholder komponentnumre, datoer og underskrifter. Efter hvert tryk stoppede maskinen. Det eneste, der mangler, er en beskrivelse af den korrekte reaktion – ud over at intet længere bevægede sig.
Knappen blev kontrolleret efter nummeret på diagrammet. Funktionen mangler stadig krav.
Først kriteriet, derefter det positive resultat
Før prøven skal den tilsigtede virkning være kendt. Hvilke handlinger skal ophøre, inden for hvilken tid, i hvilket område og under hvilke betingelser? Hvad skal forblive effektivt? Hvilken adfærd betyder, at kravene ikke er opfyldt?
Uden disse svar bliver det let at godkende præcis det, man tilfældigvis observerede. Drevet stoppede efter nogle sekunder? Sådan var det nok meningen. Nabosektionen fortsatte? Så hører den sikkert ikke til området. Når dokumentationen ikke har afgjort noget, har prøveresultatet intet at være uenig med.
Hvis kriteriet skrives efter prøven, er det nemt at projektere en maskine, der altid består. Man kræver bare ikke mere, end den netop gjorde.
I praksis kan afklaringerne organiseres sådan:
| Område | Hvad skal fastlægges? | Hvad skal dokumenteres eller henvises til? |
|---|---|---|
| Nødsituation | Hvilken eksisterende eller truende situation kræver indgriben? Hvem kan udløse den? | Scenarie, menneskets opgaver, maskinens tilstand og placeringen af en tilgængelig nødstopanordning. |
| Forventet beskyttelsesvirkning | Hvad skal aktiveringen ændre? Hvilken farlig påvirkning skal afbrydes eller begrænses? | Krævet tilstand og betingelserne for at nå den samt eventuelle ekstra beskyttende handlinger og midler til frigørelse. |
| Maskinreaktion | Hvad stoppes, i hvilken rækkefølge, inden for hvilken tid og i hvilket område? | Funktionsbeskrivelse, stopkategori, sekvens, tidsgrænser og forbindelser til øvrigt udstyr. |
| Resterende beskyttelse | Hvad skal fortsat fungere? Skaber reaktionen en ny fare eller forværrer den situationen i et andet område? | Krav til bevarede funktioner, begrundelse for løsningen og resultatet af kontrollen af deres samspil. |
| Bekræftelse | Hvordan er det påvist, at udførelsen svarer til kravene? | Resultater af analyser, prøver og målinger, prøvebetingelser, identifikation af konfigurationen og behandling af konstaterede afvigelser. |
Dette er et forslag til organisering af kontrollen. Det er ikke en formular fra ISO 13850 og heller ikke en komplet valideringsplan. Omfanget af analyser og prøver skal tilpasses den konkrete funktion, maskinen og den anvendte vurderingsmetode.
PL og SIL udfylder ikke en manglende funktionsbeskrivelse
ISO 13850 kræver, at de sikkerhedsrelaterede dele af styringen, der udfører nødstop, opfylder de relevante krav i ISO 13849-1 og/eller IEC 62061. Standarden angiver også et minimum: PLr c eller SIL 1.
Minimum betyder ikke, at niveauet automatisk er tilstrækkeligt i enhver anvendelse. Det krævede niveau skal fastlægges for den konkrete funktion under hensyntagen til dens formål og relevante specifikke krav. Det er ikke nok at kopiere PL e fra relæets datablad. Det er funktionen, der skal vurderes – ikke kun én komponent.
Selv en korrekt beregning for hele styringssystemet erstatter ikke valideringen. ISO 13849-1:2023 skelner mellem verifikation af det opnåede PL og validering, som omfatter både analyse og prøvning. Standarden kræver desuden kontrol af, om selve funktionsspecifikationen er sammenhængende og fuldstændig i forhold til den tilsigtede anvendelse.
Det er afgørende: Opgaven er ikke ukritisk at kontrollere, om programmøren præcist har realiseret en forkert specificeret funktion. Man skal også kontrollere, om opgaven overhovedet blev stillet rigtigt.
Resultatet skal gælde den udførte maskine
Kontrollen slutter ikke, når bevægelsen ophører. Funktionen skal være tilgængelig og effektiv i alle relevante driftsmåder, fastholde stoppet og forhindre, at et startsignal genoptager de standsede handlinger. Frigivelse eller nulstilling af nødstopanordningen må ikke i sig selv genstarte maskinen. Disse forhold skal også indgå i kontrollen.
Til hvert krav bør der knyttes dokumentation, der bekræfter funktionens virkning: den relevante protokolpost, måleresultatet, analysen og versionen af diagrammet og programmet. Et bilag med navnet “sikkerhedstest” er ikke nok, hvis ingen kan se, hvad der blev testet, eller efter hvilket kriterium resultatet blev godkendt.
Prøver skal planlægges uden at udsætte mennesker for fare. Man genskaber ikke en indtrækning med et menneske for at kontrollere frigørelseskonceptet. Der vælges sikre prøvnings-, analyse- og simuleringsmetoder, som passer til løsningen.
Manglende kontrol er ikke et positivt resultat, selv om formularen kun har ét felt, der kan krydses af.
Efter bekræftelsen af nødreaktionen står spørgsmålet om den forebyggende beskyttelse stadig tilbage. Et korrekt udført E-STOP opfylder ikke det krav, som en manglende afskærmning eller anderledes projekteret adgang skulle have opfyldt. Hvis protokollen aldrig spurgte, hvad der skete med faren, bør et positivt resultat ikke berolige nogen særligt meget.
Et prøveresultat er kun så godt som kriteriet. Uden et krav beviser “godkendt” mest, at der fandtes en pen og et felt at krydse af.
7. Beskyttelse er ikke et løfte om, at der findes en knap
En forebyggende sikkerhedsfunktion skal forhindre en bestemt farlig hændelse. En nødstopfunktion skal muliggøre den rigtige indgriben, når nødsituationen allerede findes eller er på vej. Begge kræver projektering og kontrol. Den ene overtager ikke den andens opgave, blot fordi begge kan standse et drev.
Et projekt bliver ikke komplet af en nødstopknap, hvis beskyttelsen mod en forudsigelig hændelse mangler. Hverken operatørinstruktion, et højt PL eller en prøve, der kun bekræfter stilstand, udfylder hullet.
Selve indgrebet kræver også mere end en beslutning om, hvilke udgange der skal kobles fra. Det rigtige stop skal defineres, nødvendig beskyttelse skal bevares, og de handlinger, der bringer situationen under kontrol, skal planlægges. Det er projekteringsarbejde. Personen ved maskinen skal ikke færdiggøre det i det øjeblik, faren opstår.
Pointen er ikke at nedvurdere E-STOP. Pointen er at undgå at tilskrive funktionen en beskyttelse, den ikke leverer, og samtidig undgå at fjerne de handlinger, som en effektiv nødreaktion kan kræve.
En nødstopfunktion skal hjælpe med at bringe en faresituation under kontrol. Den skal ikke undskylde, at farens opståen aldrig blev forebygget. Hvis hele vurderingen kun kan sammenfattes med ordene “maskinen stoppede”, så har man kontrolleret stoppet. Der kan stadig være en del arbejde tilbage med menneskets sikkerhed.
Maskinen stoppede. Godt. Nu kommer det spørgsmål, der burde have været stillet først: Hvad skete der med faren og personen?
Kilder og noter
Analysen af funktionen bygger på ISO 13850:2015. Henvisningerne nedenfor angiver de bestemmelser, der er anvendt i artiklen. Links til standarder fører til udgiverens engelsksprogede katalogsider, ikke til kopier af den fulde tekst. Relaterede artikler uddyber emnerne, men erstatter ikke de normative kilder.
[1] Funktionens formål og supplerende rolle. ISO 13850:2015, punkt 3.1, 3.5 og 3.8 samt 4.1.1.1–4.1.1.3: formålet med nødstop, menneskelig aktivering, begreberne sikkerhedsfunktion og nødsituation samt forbuddet mod at erstatte øvrig beskyttelse. Sondringen i artiklen gælder den forebyggende opgave over for nødindgrebet; den udelukker ikke nødstop fra sikkerhedsrelaterede funktioner.
[2] Lysgitter og stop før farlig kontakt. ISO 12100:2010, punkt 6.3.2.5.1–6.3.2.5.2: betingelser for anvendelse af følsomt beskyttelsesudstyr, mulighed for stop, placering af detekteringsfeltet og forbindelse til styringen. Standarden henviser til ISO 13855 vedrørende placering. Eksemplet er ikke en afstandsberegning eller et færdigt valg af lysgitter.
[3] Muligheden for menneskelig indgriben og grænserne for instruktion. ISO 12100:2010, punkt 5.5.2.3.3 og 6.1: faktorer, der påvirker muligheden for at undgå eller begrænse skade, samt forbuddet mod at erstatte korrekte beskyttelsesforanstaltninger med information til brugeren. ISO/TR 14121-2:2012, punkt 8.4, nævner nødstop som eksempel på en foranstaltning, der primært påvirker muligheden for at undgå eller begrænse skade. Det er vejledning i en teknisk rapport, ikke grundlag for automatisk at sænke en værdi i en risikograf. Nødstopanordningers tilgængelighed behandles i ISO 13850:2015, punkt 4.3.1–4.3.2.
[4] Yderligere beskyttende handlinger og frigørelse. ISO 13850:2015, standardens anvendelsesområde samt punkt 4.1.1.2 og 4.1.1.5: bevarelse af andre beskyttelsesfunktioners effektivitet og muligheden for at indlede andre handlinger end selve stoppet. Detaljerede krav til disse handlinger ligger uden for standardens anvendelsesområde. ISO 12100:2010, punkt 6.3.5.2–6.3.5.3, skelner mellem nødstop og midler til frigørelse og redning af fastklemte personer.
[5] Bevarelse af øvrig beskyttelse og stopkategorier. ISO 13850:2015, punkt 4.1.1.2, 4.1.1.4–4.1.1.5 og 4.1.3. Standarden nævner blandt andet frigørelse af personer, brandslukning og et muligt behov for at bevare elektromagnetiske løfteanordninger eller bremser i funktion. Beskrivelsen af stopkategori 0 og 1 betyder ikke, at hele udstyret skal isoleres fra alle energikilder.
[6] Én menneskelig handling, sekvens og virkeområder. ISO 13850:2015, punkt 4.1.1.1, 4.1.1.5–4.1.1.6 samt 4.1.2–4.1.2.1: korrekt reaktion uden yderligere indgriben til selve stoppet, muligheden for en fastlagt sekvens, projektering af følgerne ved aktivering og betingelser for områdeopdeling. Analysen af samspillet mellem forskellige leverandørers udstyr er en praktisk uddybning af kravene.
[7] PL/SIL, fastholdelse af stop og nulstilling. ISO 13850:2015, punkt 4.1.5.1: relevante krav i ISO 13849-1 og/eller IEC 62061, mindst PLr c eller SIL 1 samt tilladt deling af komponenter. Punkt 4.1.1.2 og 4.1.4 omhandler funktionens tilgængelighed, fastholdelse af stoppet og nulstilling, som ikke må udløse genstart. Ved den konkrete anvendelse skal relevante specifikke krav, herunder en gældende type C-standard, også tages i betragtning.
[8] Funktionskrav og validering. ISO 13849-1:2023, kapitel 8 samt punkt 10.1.1, 10.2 og 10.4.1: verifikation af opnået PL, validering gennem analyse og prøvning, kontrol af specifikationens fuldstændighed og sammenhæng samt forudgående fastlæggelse af prøveplan og forventede resultater. Tabellen i artiklen er et redaktionelt forslag til organisering af oplysningerne, ikke en fuldstændig valideringsplan.
[9] EU-retlig sammenhæng. Direktiv 2006/42/EF – engelsk tekst i EUR-Lex, bilag I, punkt 1.2.4.3–1.2.4.4, samt forordning (EU) 2023/1230 – engelsk tekst i EUR-Lex, bilag III, punkt 1.2.4.3–1.2.4.4: nødstoppets supplerende rolle, forbud mod yderligere risiko, beskyttende bevægelser og stop af sammenkoblet udstyr, hvis fortsat drift kan være farlig. Forordningen finder som hovedregel anvendelse fra 20. januar 2027; overgangsbestemmelser og datoer fremgår af artikel 52 og 54. Henvisningen til en standard er ikke i sig selv en erklæring om dens harmonisering under en bestemt EU-retsakt.
Eksemplernes karakter og anvendelsesgrænser. De beskrevne arbejdsstationer, forsyningssystemer, dokumentationsformuleringer og udsagn er modeltilfælde. De beskriver ikke en fastslået ulykke og er ikke redningsinstruktioner til en konkret maskine. Adskillelse af elementer, frigivelse af klemkraft og omvendt bevægelse kræver korrekt projektering og vurdering af følgerne. Artiklen behandler funktionens rolle og logik, ikke alle krav i ISO 13850; standardens anvendelsesområde og undtagelser fremgår af kapitel 1. Kontrolspørgsmålene og konklusionerne om fejlagtige projektforudsætninger er ingeniørmæssige uddybninger af de angivne kilder.