Lysgitteret blev ikke flyttet. Grænsen flyttede sig. Det er den korte version af sagen, hvor sikkerhedsafstand til lysgitter pludselig ikke længere holdt efter en ændring i styringen.
I en SIMATIC S7-1500F, konfigureret i TIA Portal V18, blev F_WD_TIME hævet fra cirka 150 ms til cirka 500 ms. Det behøver ikke at være en konstruktionsfejl. Overvågningstiden i PROFIsafe er ikke en universel sandhed. Den skal passe til den faktiske kommunikation, F-CPU-cyklusser, sikkerhedsprogrammet og de anvendte F-enheder.
Problemet starter først, når ændringen behandles som en ren kommunikationsjustering, uden at nogen kontrollerer virkningen på hele sikkerhedsfunktionen.
Brug ikke tallene 150 ms og 500 ms som en opskrift. De er afrundet til casen og er ikke universelle indstillinger anbefalet af Siemens. Den rigtige værdi findes i den konkrete konfiguration — og i den efterfølgende validering.
I denne sag blev konsekvensen afsløret ved en ny validering. Stoptidsmålingen viste den reelle tid, før den farlige bevægelse var væk. Beregningen af den maksimale reaktionstid tog højde for den aktuelle konfiguration af sikkerhedssystemet. Da de to værdier blev lagt korrekt sammen, og afstanden blev beregnet efter ISO 13855, stod resultatet sort på hvidt: lysgitteret sad for tæt på farezonen.
Der manglede mere end en halv meter.
Skalaen ses direkte i sammenhængen S = (K × T) + C. Hvis den samlede tid T stiger med 350 ms, giver K = 1600 mm/s en ekstra krævet afstand på 560 mm. Forskellen i F_WD_TIME går ikke nødvendigvis én til én ind i den samlede tid. Derfor afgør antagelser ikke sagen. Beregning og måling gør.
Der var ikke plads til de ekstra 560 mm. Lysgitteret kunne ikke flyttes længere væk. Derfor måtte beskyttelsesløsningen ændres. Det blev erstattet af en transparent bevægelig afskærmning med forrigling og låsning, det sikkerhedsrelaterede styresystem blev bygget om, og PLr = d blev fastlagt for de nye sikkerhedsfunktioner.
Her holder historien op med at handle om ét felt i TIA Portal. En ændring af F_WD_TIME kan udløse hele kæden: ny beregning af reaktionstid, ny sikkerhedsafstand, ny beskyttelsesanordning, ny risikovurdering — og i sidste ende spørgsmålet om væsentlig ændring.
F_WD_TIME og sikkerhedsafstand til lysgitter: forkert værdi eller forkert konsekvens?
Det er fristende at starte med mistanken:
→ Hvem hæver en watchdog fra 150 til 500 ms?
→ Det er jo en parameter i en sikkerhedsfunktion.
→ Er der nogen, der prøver at skjule kommunikationsproblemer?
Det er fornuftige spørgsmål. Men ingen af dem svarer på det vigtigste: står lysgitteret stadig i sikker afstand?
Det rigtige spørgsmål er mere brutalt:
Hvad gjorde ændringen af F_WD_TIME ved den maksimale reaktionstid og den krævede afstand til lysgitteret?
Hvorfor F_WD_TIME ikke har én korrekt værdi
F_WD_TIME har ikke én rigtig værdi for alle anlæg. En for kort overvågningstid kan passivere F-enheder, selv om kommunikationen ikke er defekt. I en større konfiguration tæller blandt andet F-CPU-cyklusser, netværksopdatering, valgte enheder og PROFIsafe-arkitektur.
Man kan altså have 150 ms, der er forkert valgt, og 500 ms, der er korrekt valgt. Man kan også have 150 ms, der er helt korrekt, og 500 ms, der er teknisk ubegrundet. Selve tallet frikender ingen.
Siemens beskriver to krav, der skal være opfyldt samtidig. Overvågningstiden skal være lang nok til ikke at blive overskredet under fejlfri drift. Men den skal samtidig være kort nok til, at procesens sikkerhedstid ikke overskrides.
En større værdi kan derfor forbedre maskinens tilgængelighed. Men den beviser ikke, at maskinen stadig reagerer hurtigt nok. Og den beviser ikke, at den gamle beskyttelsesløsning stadig virker.
Problemet behøver ikke at være selve watchdog-værdien. Problemet starter, når man ændrer den og stadig bruger den gamle beregning, den gamle stoptidsmåling og den gamle afstand.
Hvorfor ikke bare gå tilbage til 150 ms?
Det spørgsmål skal stilles med det samme, når valideringen viser et problem: Hvis lysgitteret står for tæt ved 500 ms, hvorfor sætter vi så ikke bare F_WD_TIME tilbage til 150 ms?
Hvis den korte værdi stadig passer til den faktiske PROFIsafe-konfiguration, kan det være den rigtige løsning. Der er ingen grund til at bygge en maskine om bare for at bevare en unødigt lang watchdog.
Men hvis 150 ms ikke giver den nødvendige reserve for de aktuelle F-CPU-cyklusser, F-enheder og kommunikation, er det snyd at gå tilbage. Beregningen bliver pænere. Maskinen bliver ikke nødvendigvis sikrere.
Reglen er enkel: afstanden følger reaktionstiden. Reaktionstiden vælges ikke efter den plads, der tilfældigvis er ledig i hallen. Pladsen i hallen kan ikke forhandle med ISO 13855.
Først undersøger man, om F_WD_TIME kan reduceres, om andre dele af reaktionstiden kan forkortes, og om den mekaniske stoptid kan nedbringes. Først når de muligheder er udtømt, står man tilbage med to veje: flyt lysgitteret eller skift beskyttelsesløsning.
I denne case var der ikke plads til en halv meter mere. Derfor kunne problemet ikke lukkes med en parameterrettelse. Beskyttelseskonceptet måtte ændres.
Sådan beregnes sikkerhedsafstand til lysgitter efter ISO 13855
Indtil nu kan man stadig diskutere PROFIsafe-konfigurationen. Var 150 ms korrekt? Var 500 ms nødvendig? Kunne cyklustiden reduceres? Kunne netværket forbedres?
Svaret kommer først, når valideringen hænger sammen. Beregningen af maksimal reaktionstid viser, hvordan styredelen opfører sig, også for de antagne fejlscenarier. Stoptidsmålingen viser, hvornår den farlige bevægelse faktisk ophører. Grænserne mellem værdierne skal være klare, så intet glemmes — og intet tælles to gange.
ISO 13855 omsætter tid til afstand:
S = (K × T) + C
Hvis de øvrige dele er uændrede, kan virkningen af en ændret samlet tid vises som:
ΔS = K × ΔT
| Forøgelse af beregnet maksimal tid ΔT | Forøgelse af afstand ved K = 1600 mm/s | Illustrativ forøgelse ved K = 2000 mm/s |
|---|---|---|
| 100 ms | 160 mm | 200 mm |
| 350 ms | 560 mm | 700 mm |
ΔT betyder her forskellen mellem to beregninger af maksimal reaktionstid. Det betyder ikke automatisk forskellen mellem to F_WD_TIME-indstillinger. K = 2000 mm/s viser den matematiske skala. Det korrekte beregningsvalg skal vælges efter ISO 13855, ikke efter hvilket resultat der passer bedst til tegningen.
Man må ikke vælge den mest fordelagtige K-værdi, bare fordi den giver et mindre tal. Beregningsmetode, C-værdi og øvrige betingelser følger tilgangsretning, detektionsevne og kravene i ISO 13855 for den konkrete anvendelse.
Det er heller ikke en margin, man kan runde væk. Det er fysisk afstand mellem lysgitterets detektionsfelt og farezonen.
Hvilket måleresultat skal bruges?
Én måling er ikke nok. I det informative bilag til den udgave af ISO 13855, der blev anvendt i denne case, peges der på mindst 10 målinger. De skal udføres under de identificerede forhold, der giver den længste realistiske tid, før faren forsvinder.
Afhængigt af maskinen kan det være hastighed, belastning, cyklusfase, temperatur og tilstanden af de komponenter, der står for stopfunktionen.
Hvilken værdi vælger man så?
Ikke den pæneste. Ikke gennemsnittet. Ikke den, der gør det muligt at beholde lysgitteret.
Efter metoden i bilaget anvendes den største af to værdier: den længste målte tid eller gennemsnittet plus tre standardafvigelser.
Hvad omfatter stoptidsmålingen?
Her skal man holde styr på målegrænserne. Hvis instrumentet måler hele tiden fra aktivering af beskyttelsesanordningen til bevægelsen er ophørt, må man ikke bagefter lægge de samme dele fra beregningen til igen. Hvis målingen kun omfatter den mekaniske del af stoppet, skal den beregnede tid for den forudgående del af reaktionskæden lægges til.
Sætningen “maskinen stoppede” er næsten værdiløs alene. Det rigtige spørgsmål er: stoppede den, før en person kunne nå faren?
I denne case førte kombinationen af reaktionstidsberegning og stoptidsmåling til én konklusion: den nødvendige afstand voksede med mere end en halv meter. Og den halve meter fandtes ikke.
Lysgitteret virkede. Alligevel måtte det fjernes
Det lyder som en modsigelse, men det er det ikke. Lysgitteret registrerede en person og udløste et stop. Fejlen lå ikke nødvendigvis i selve enheden. Problemet var afstanden til farezonen.
Et lysgitter stopper ikke et menneske fysisk. Det registrerer indtrængning og sender et stopsignal til maskinen. Hele konceptet virker kun, hvis den farlige bevægelse er væk, før personen kan nå frem til faren.
Hvad gør man, når måling og beregning viser, at der mangler 560 mm, men hallen er fuld?
ISO 12100 tvinger processen tilbage til iterativ risikonedsættelse. Først vurderer man igen, om risikoen kan reduceres ved indbygget sikker konstruktion, herunder kortere reaktionstid og kortere stoptid. Hvis det ikke er nok, vælges en teknisk beskyttelsesløsning, der passer til de reelle forhold.
I den analyserede løsning blev princippet ændret. Lysgitteret, der registrerede adgang til området, blev erstattet af en transparent afskærmning, der skulle forhindre adgang.
De transparente paneler gav stadig udsyn til processen. Men de var ikke pynt. Konstruktion, styrke og fastgørelse blev vurderet efter ISO 14120. Afskærmningen måtte ikke skabe nye klemsteder eller skarpe kanter. Muligheden for at række gennem, over eller under konstruktionen skulle vurderes efter ISO 13857.
Hvorfor en bevægelig afskærmning med forrigling og låsning?
Der var stadig behov for adgang til drift og service. Hvorfor var en almindelig forriglet afskærmning ikke nok?
En forriglet afskærmning udløser stop, når den åbnes, men den forhindrer ikke nødvendigvis straks adgang. Hvis den farlige bevægelse først forsvinder efter en vis tid, kan operatøren nå ind i området, før maskinen reelt er stoppet.
Behovet for låsning afgøres ikke alene af, at der findes efterløb. Det afgøres af sammenligningen mellem tiden, før faren er væk, adgangstiden og resultatet af risikovurderingen.
I denne case skulle afskærmningen forblive lukket fra adgangsanmodningen, til risikoen var ophørt. Først derefter måtte systemet frigive låsen og tillade åbning. Principper for valg af forriglingsanordning, låsning og begrænsning af omgåelse beskrives i ISO 14119.
Ændringen fra lysgitter til bevægelig afskærmning med forrigling og låsning var ikke et simpelt komponentbytte. Der skulle bygges nye sikkerhedsfunktioner:
- stop af farlig bevægelse efter adgangsanmodning,
- forebyggelse af start med åben afskærmning,
- fastholdelse af låsning, indtil risikoen er væk,
- frigivelse af låsning først når de krævede betingelser er bekræftet,
- forebyggelse af uventet genstart.
PLr = d gælder funktionen — ikke selve afskærmningen
For hver identificeret sikkerhedsfunktion blev PLr fastlagt ud fra risikovurderingen. I denne case blev PLr = d valgt for de funktioner, der skulle levere risikonedsættelsen. Derefter blev de sikkerhedsrelaterede dele af styresystemet konstrueret, så opnået PL mindst svarede til PLr, og funktionerne blev verificeret og valideret efter ISO 13849.
Det betyder ikke, at afskærmningen “har PL d”. Performance level gælder hele funktionen: fra positions- og låsetilstandssensor, gennem styringslogikken, til den aktuator der stopper bevægelsen. Mærkningen på én kontakt dokumenterer ikke niveauet for hele kæden.
Resultatet var klart: én ændring i en parameter førte til ny afskærmning, nye sikkerhedsfunktioner, ombygning af sikkerhedsprogrammet og ny validering.
Og netop det rejser næste spørgsmål: er den, der udfører ombygningen, stadig kun bruger af maskinen — eller har virksomheden overtaget producentens forpligtelser?
Fra digital ændring til væsentlig ændring
Ved første øjekast virker svaret enkelt. Lysgitteret blev erstattet af en bevægelig afskærmning med forrigling og låsning. Sikkerhedsprogrammet blev bygget om. Nye sikkerhedsfunktioner blev tilføjet. Arbejdet var stort, så ændringen må være væsentlig.
Så enkelt er det ikke.
Forordning (EU) 2023/1230 vurderer ikke antallet af ændrede komponenter. Den spørger ikke, hvor mange meter afskærmning der er monteret, eller hvor mange blokke der er ændret i programmet. Den spørger til virkningen på sikkerheden.
I den relevante vurdering skal man samlet afklare:
- om der efter markedsføring eller ibrugtagning er foretaget en fysisk eller digital ændring,
- om ændringen ikke var forudset eller planlagt af maskinens producent,
- om ændringen skabte en ny fare eller øgede en eksisterende risiko,
- om den krævede tilføjelse af en afskærmning eller beskyttelsesanordning,
- om funktionen af denne løsning krævede ændring af et eksisterende sikkerhedsrelateret styresystem.
Ændringen af F_WD_TIME alene afgør ikke, om der er tale om en væsentlig ændring. Men den kan udløse kæden, hvis alle betingelserne dokumenteres i risikovurderingen.
I denne case var startpunktet en digital ændring på en maskine i drift. Ny validering viste, at den eksisterende placering af lysgitteret ikke længere gav den forventede risikonedsættelse. Sikkerheden kunne ikke genskabes ved at flytte lysgitteret. Den nye bevægelige afskærmning med forrigling og låsning krævede ombygning af funktioner i sikkerhedssystemet.
Kæden ser sådan ud:
digital ændring → øget risiko → ny beskyttelsesløsning → ombygning af eksisterende sikkerhedssystem
Der er dog én betingelse, man ikke må gætte sig til: var denne ændringsmulighed forudset eller planlagt af maskinens producent?
Hvis producenten havde dækket varianten i den oprindelige risikovurdering, dokumentation og brugsanvisning, kan ændringen ligge inden for en planlagt konfiguration. Hvis ikke, og de øvrige betingelser er opfyldt, kan sagen kvalificeres som en væsentlig ændring.
Hvornår overtager man producentens forpligtelser?
Hvis alle betingelser er opfyldt, anser artikel 18 i forordning (EU) 2023/1230 den fysiske eller juridiske person, der foretager den væsentlige ændring, som producent med henblik på forordningen. Forpligtelserne gælder maskinen eller det relaterede produkt, der er berørt af ændringen. Ved et maskinanlæg gælder de for det produkt, der er berørt i det omfang, risikovurderingen viser.
Det stopper ikke ved en ny risikovurdering og validering. Producentforpligtelserne omfatter også teknisk dokumentation, relevant overensstemmelsesvurdering, EU-overensstemmelseserklæring, CE-mærkning, brugsanvisning, identifikation samt opbevaring af teknisk dokumentation og EU-overensstemmelseserklæring i mindst 10 år.
Forordningen trådte i kraft 19. juli 2023, men de centrale bestemmelser om væsentlig ændring finder anvendelse fra 20. januar 2027. Hvis ombygningen er udført tidligere, kvalificeres den ikke med tilbagevirkende kraft efter disse artikler. Der skal anvendes de regler, der gjaldt på ændringstidspunktet.
Maskindirektivet 2006/42/EF indeholdt ikke en juridisk definition af væsentlig ændring. I praksis talte branchen ofte om større moderniseringer. Den officielle vejledning fra Kommissionen pegede på behovet for at vurdere, om ombygningens omfang i realiteten betød, at der var konstrueret en ny maskine.
Læs mere om den juridiske test i artiklen væsentlig ændring — hvornår sker den faktisk?. Du kan også gennemgå kriterierne for væsentlig ændring trin for trin.
Hvor langt rækker ændringen?
Når nogen siger “du overtager producentens forpligtelser”, ryger diskussionen ofte i én af to grøfter.
Den første: Vi skal lave overensstemmelsesvurdering og dokumentation for hele linjen fra nul.
Den anden: Vi har kun skiftet lysgitteret til en afskærmning, så vi dokumenterer kun de nye døre og låsen.
Begge svar kan være forkerte.
Betragtning 26 i forordning (EU) 2023/1230 præciserer, at den, der foretager en væsentlig ændring, ikke skal gentage prøvninger og udarbejde ny dokumentation for maskiner eller relaterede produkter, der indgår i et maskinanlæg, men ikke påvirkes af ændringen.
Det begrænser dog ikke forpligtelserne for den maskine eller det produkt, der faktisk er berørt.
Grænsen kan ikke trækkes efter projektnavnet, tavlegrænsen eller det sted, hvor den nye afskærmning er boltet fast. Den skal følge risikovurderingen.
Derfor skal man kontrollere mere end dørens mekanik:
- hvilken del af linjen stopper, når afskærmningen åbnes,
- om stopzoner er ændret,
- om andre maskiner stadig kan udføre farlige bevægelser,
- hvor reset er placeret, og hvad operatøren kan se derfra,
- om lukning af afskærmningen kan føre til uventet genstart,
- om en person kan blive stående mellem afskærmning og farezone,
- om ændringen påvirker grænseflader mellem maskiner.
Hvis risikovurderingen viser, at den væsentlige ændring kun påvirker sikkerheden for én maskine eller ét relateret produkt i et maskinanlæg, kan artikel 18 begrænse producentforpligtelserne til dette produkt.
Men hvis fælles adgang, stop, reset, genstart eller kommunikation mellem zoner er ændret, kan man ikke påstå, at sagen kun handler om én dør.
Hvis anlægget er et integreret produktionssystem med mindst to indbyrdes forbundne maskiner til en bestemt anvendelse, kommer ISO 11161 ind i billedet. Enkeltmaskinerne kan være korrekte hver for sig. Alligevel kan der opstå ny risiko på systemniveau, når de forbindes eller får en fælles beskyttelsesløsning.
Det praktiske spørgsmål er derfor: hvor langt rækker ombygningens virkning på funktioner, zoner og sikkerhedsgrænseflader?
Ændrer du en parameter? Gennemgå hele kæden igen
En ændring af F_WD_TIME betyder ikke automatisk, at hele dokumentationen skal laves om fra bunden. Men hvis ændringen fører til en væsentlig ændring, skal den tekniske dokumentation dække den maskine eller det produkt, hvis sikkerhed er berørt.
En gammel stoptidsmåling kan stadig være et korrekt historisk dokument. Den bekræfter bare ikke automatisk sikkerhedsafstanden efter ændringen i sikkerhedsprogrammet.
| Hvad ændres? | Mulig virkning | Hvad skal dokumenteres igen? |
|---|---|---|
| F_WD_TIME eller PROFIsafe-konfiguration | Anden maksimal reaktionstid | Beregning af reaktionstider for det aktuelle projekt |
| Reaktionstid eller stoptid | Anden sikkerhedsafstand til lysgitter | Stoptidsmåling og beregning efter ISO 13855 |
| Lysgitter erstattes af bevægelig afskærmning med forrigling og låsning | Nye faresituationer og sikkerhedsfunktioner | Risikovurdering, funktionsspecifikation og PLr |
| F-program, forrigling eller låsning | Ændring af SRP/CS | Verifikation af opnået PL og validering |
| Fælles adgang, reset eller stopzone | Virkning på nabomaskiner | Analyse af grænseflader og omfang efter ISO 11161 |
| Betingelser for væsentlig ændring er opfyldt | Producentforpligtelser | Overensstemmelsesvurdering og komplet dokumentation for det berørte produkt |
Hvert bevis svarer på sit eget spørgsmål. RT Calculator viser styringssystemets reaktionstid. Stoptidsmålingen viser den faktiske ophørstid for farlig bevægelse. ISO 13855 omsætter tid til afstand. Risikovurderingen afgør, om de valgte løsninger stadig giver den krævede risikonedsættelse.
Ingen af disse beviser erstatter de andre. Hvis kæden blev udløst af én parameter, skal sporet gå hele vejen fra ændringen til valideringen.
Derfor bør enhver ændring af en parameter, der påvirker reaktionstid, efterlade et klart spor: årsag, konfiguration før og efter, beregninger, måleresultater, risikovurdering, konstruktionsbeslutning og valideringsrapport.
Siemens RT Calculator hjælper med at beregne reaktionstid. Den forklarer ikke, hvorfor ændringen blev accepteret, eller hvilke konsekvenser den fik for hele maskinen.
Den beslutningskæde kan struktureres i Safety Software — risikovurdering af maskiner. Modulet auditspor kan gemme historik for ændringer og begrundelser, mens maskinaudit kan samle fund, korrigerende handlinger og valideringsbeviser.
Konklusion
Denne case beviser ikke, at F_WD_TIME = 500 ms er forkert. Den viser noget vigtigere: en ændring af en parameter, der påvirker reaktionstid, kan gøre gamle sikkerhedsforudsætninger ugyldige.
Kæden var enkel:
ændret F_WD_TIME → anden maksimal reaktionstid → større afstand til lysgitter → ingen plads → ny bevægelig afskærmning med forrigling og låsning → ombygning af sikkerhedssystemet
Ved K = 1600 mm/s betyder 350 ms ekstra samlet tid 560 mm ekstra krævet afstand. Det tal kan ikke reduceres, fordi hallen er for lille. Hvis tiden ikke kan forkortes, og lysgitteret ikke kan flyttes, må beskyttelseskonceptet ændres.
Selve watchdog-ændringen afgør ikke, om der er tale om en væsentlig ændring. Men den kan starte en kæde, der opfylder alle betingelser: digital ændring efter markedsføring eller ibrugtagning, ikke forudset af producenten, øget risiko, ny beskyttelsesløsning og ombygning af eksisterende sikkerhedsrelateret styresystem.
Det vigtigste spørgsmål er derfor ikke: måtte vi hæve F_WD_TIME?
Det vigtigste spørgsmål er: blev maskinens sikkerhed beregnet, målt og bekræftet igen efter ændringen?
Hvis svaret bygger på aktuelle beregninger, stoptidsmåling, risikovurdering og validering, er ændringen under kontrol. Hvis svaret stadig bygger på en gammel protokol og sætningen “vi har jo ikke flyttet lysgitteret”, er det netop dér problemet begynder.
Officielle kilder
Siemens
- SIMATIC Safety — konfiguration af overvågningstider
- SIMATIC STEP 7 Safety Advanced — RT Calculator
- SIMATIC Safety — reaktionstider for sikkerhedsfunktioner
- Sikkerhedsfunktion via IWLAN — eksempel for TIA Portal V18
- SIMATIC Safety — systemaccept og verifikation af tider
EU-ret
- forordning (EU) 2023/1230 — gældende tekst
- forordning (EU) 2023/1230 — betragtning 26
- Vejledning til maskindirektivet 2006/42/EF
Standarder anvendt i analysen
- ISO 12100 — risikovurdering og risikonedsættelse
- ISO 13855 — placering af tekniske beskyttelsesforanstaltninger
- ISO 14119 — forriglingsanordninger forbundet med afskærmninger
- ISO 14120 — konstruktion og udførelse af afskærmninger
- ISO 13857 — sikkerhedsafstande, der forhindrer adgang til farezoner
- ISO 13849-1 — konstruktion af sikkerhedsrelaterede dele af styresystemer
- ISO 11161 — integrerede produktionssystemer
Før en standard anvendes, skal den relevante udgave for projektet, national publikation og den aktuelle grundlag for formodning om overensstemmelse fastlægges.