Operatøren åbner afskærmningen på bearbejdningscentret. Han fører emnet ind i opspændingsanordningen og holder det med hånden for at placere det før fastspænding. Han forsøger at aktivere klemmen. Maskinen nægter: Den åbne afskærmning blokerer bevægelsen.
Præcis som den er konstrueret til. Produktionen skal bare stadig kunne begynde.
Forestil dig, at vi står ved anlægget under afleveringen. I styreskabet sidder gennemprøvede komponenter. På bordet ligger rapporten med beregningen af Performance Level, PL. Konstruktøren har diagrammet, sensordataene og producentens bibliotek. Operatøren har emnet i hånden. Hans opgave er ikke blevet afklaret med samme præcision.
Styringen udfører den tildelte funktion korrekt. Problemet er, at ingen først spurgte, hvordan mennesket skulle spænde emnet op. Det hul skal en specifikation af sikkerhedskrav, SRS, hjælpe med at lukke, før en uudtalt antagelse bliver bestilt, monteret og programmeret.
ISO 13849-1:2023 kræver resultaterne af risikovurderingen efter ISO 12100. Herfra udleder vi sikkerhedsfunktionerne, den nødvendige adfærd og det krævede Performance Level, PLr. Det skrives ind i SRS, som bliver en del af den tekniske dokumentation og grundlaget for det videre design.
Derefter følger valg af løsning, beregninger, verifikation og validering. Men før vi går i gang, bør vi vide, hvor operatørens hånd befinder sig under fastspændingen. Det står ikke i styringens katalog. Det gælder, uanset om løsningen projekteres efter ISO 13849-1 eller en anden relevant standard.
Hvordan spænder vi emnet sikkert op, når styringen allerede er færdig?
Lad os gå nogle uger tilbage. Projektet får fart på, fordi nogen foreslår et gennemprøvet sæt fra den forrige maskine: afskærmningssensor, sikkerhedsstyring og et passende drev. Dataene findes, biblioteket er klart, og leverandøren kender leveringstiden.
Spørgsmålet om manuel placering af emnet udskydes til idriftsættelsen. Til den tid kan man jo se det hele.
Og ganske rigtigt: Nu kan alle se problemet. Operatøren har brug for en bevægelse, mens afskærmningen er åben, men styringen skal standse netop den bevægelse. Nogen foreslår en undtagelse i programmet. De allerede indkøbte enheder begynder dermed at diktere sikkerhedskravene, selv om deres opgave burde være at opfylde dem.
Stop samtalen ved opspændingsanordningen. Hvorfor skal operatøren understøtte emnet? Kan fiksturen fastlægge dets position på forhånd? Hvilken bevægelse er nødvendig, og hvilken forsvinder, hvis fastspændingsmetoden ændres?
Svarene bestemmer sikkerhedskonceptet. Måske skal opspændingsanordningen ændres. Måske er bevægelse under adgang stadig nødvendig. Så skal betingelserne for frigivelse, begrænsning og standsning beskrives. En undtagelse i logikken afgør ikke i sig selv, om arbejdet er sikkert.
Samme styring, en anden opgave
På den forrige maskine kan ilægningen have foregået anderledes. Måske holdt fiksturen emnet på plads, så operatøren kunne lukke døren før fastspændingen. Her bliver hånden inde i området længere.
Styringens varenummer passer. Anvendelsesbetingelserne gør ikke nødvendigvis. Før et gammelt design genbruges, kontrollerer vi adgang, arbejdsrækkefølge, nødvendige bevægelser og belastningens adfærd. Svaret »det virkede på den forrige maskine« beskriver stadig kun den forrige maskine.
Sådanne afklaringer kan ændre tegninger, komponentvalg og program. De er langt sværere at acceptere, når styreskabet står færdigt, og tidsplanen kun mangler feltet »aflevering«. På det tidspunkt står operatørens hånd også i vejen for projektets afslutning.
En ny beregning af kredsløbet løser ikke uenigheden ved klemmen. Det opnåede PL gælder den implementerede funktion og de betingelser, den er vurderet under. Hvis vi har kontrolleret standsning ved åbning af afskærmningen, tilføjer resultatet ikke automatisk krav til manuel fastspænding.
Certificerede enheder og tidligere validerede delsystemer er nyttige. ISO 13849-1 tillader, at de bruges, når integrationsbetingelserne er opfyldt. Vi skal stadig dokumentere egenskaberne for den komplette funktion i den konkrete anvendelse med dens opspændingsanordning, belastning og adgang.
Styringsproducenten kender ikke vores metode til placering af emnet. Producentens certifikat har aldrig vurderet den.
Det er en vigtig ansvarsgrænse for automatikingeniøren. Man kan forbinde enhederne korrekt, programmere logikken og dokumentere PL – og stadig have fået en ufuldstændig opgave. Resultaterne af risikovurderingen skal foreligge, før antagelserne fryses fast i programmet.
Mangler de, går sagen tilbage til projektteamet. Hvem beslutter udformningen af opspændingsanordningen? Hvem fastlægger de nødvendige bevægelser? Hvem beskriver adgangsbetingelserne? Det, der sendes videre til programmering, skal være et aftalt krav.
Man kan have to kanaler og ikke ét eneste krav til den arbejdsopgave, operatøren faktisk udfører. To kanaler reparerer ikke en opgave, som ingen har identificeret.
Operatøren kommer ind i projektet, før afskærmningen bliver lukket
Operatøren henter emnet, lægger det på plads, korrigerer positionen og spænder det fast. Først derefter lukker han afskærmningen og starter bearbejdningen. Til sidst åbner han døren igen og tager emnet ud.
Hvis arbejdsbeskrivelsen begyndte ved START-knappen, mangler netop den handling, der gør det meningsfuldt at trykke på knappen.
Dertil kommer forkert ilagte emner, værktøjsskift, rengøring og genstart efter en afbrydelse. Ved hvert indgreb kan personen stå et andet sted og være tættere på andre bevægelser eller energikilder.
Sætningen »betjening i henhold til instruktionen« viser ikke konstruktøren, hvordan arbejdet udføres. Den fastlægger heller ikke, hvad der må bevæge sig, og hvad der skal forblive stille.
ISO 12100 begynder med fastlæggelse af maskinens og anvendelsens grænser. Vi beskriver brugere, driftsmåder, materialer og indgreb. Maskinens livsfaser og rimeligt forudsigelig forkert anvendelse skal med.
Først derefter identificerer vi farerne og estimerer risikoen. Så vurderer vi, om risikoreduktion er nødvendig. På den måde holder »fjern blokering« op med at være én bekvem linje. Det bliver i stedet en konkret adgang fra en bestemt side og en kontrolleret bevægelse af mekanismen.
En samtale ved maskinen afslører det hurtigt. Hvis sikkerhedsløsningen gør en nødvendig opgave umulig, kan den også lokke medarbejderne til at omgå den. Løsningen skal forbedres, før omgåelsen bliver den normale arbejdsmetode på gulvet.
Måske er den bedste løsning at ændre opspændingsanordningen
Den første beslutning om klemmen behøver slet ikke handle om styringen. En fikstur, som fastlægger emnets position uden en hånd i klemområdet, ændrer selve eksponeringen.
ISO 12100 begynder risikoreduktionen med iboende sikre konstruktionsløsninger. Derefter følger tekniske beskyttelsesforanstaltninger som afskærmninger og beskyttelsesanordninger samt supplerende beskyttelsesforanstaltninger. Til sidst kommer information til brug.
Når konceptet er valgt, fastlægger vi styringens opgaver. Den skal forhindre bestemte bevægelser under adgang, tillade nødvendig indstilling og sikre den krævede fastholdelse af emnet ved tryktab. Herfra udledes sikkerhedsfunktionerne og deres omfang.
Operatørens opgaver afdækker en central del af problemet, men risikovurderingen omfatter hele maskinen. Udkastning af materiale, støj og konstruktionssvigt forsvinder ikke, blot fordi ingen udfører et manuelt indgreb i det øjeblik.
Hele beslutningsforløbet kan ses i et eksempel på risikovurdering efter ISO 12100. Ved valg af beskyttelse er det også nyttigt at skelne skarpt mellem de forskellige tekniske beskyttelsesforanstaltninger.
ISO 13849-1 forventer resultaterne af dette arbejde
Punkt 4.5 i ISO 13849-1:2023 kræver resultaterne af risikovurderingen, oplysninger om de nødvendige funktioner, deres bidrag til risikoreduktionen og deres PLr. Punkt 5.1 henviser direkte til de detaljerede oplysninger fra vurderingen efter ISO 12100.
Det er projektets input. Et elektrisk diagram leverer dem ikke, selv om det hurtigt kan fylde dokumentationens første side.
I SRS beskriver vi funktionerne og de funktionelle krav, fastlægger PLr og gennemgår helheden før konstruktionen. Det følger af punkt 5.1–5.4. PLr skal være fastlagt i den færdige SRS.
En tidligere version uden PLr er fortsat et arbejdsdokument. Bemærkningen »fastlægges under idriftsættelse« angiver kun en frist for det resterende arbejde. Den lukker ikke sikkerhedskravet.
Konstruktøren kender opspændingsanordningen, produktionsteknikeren kender placeringen, brugeren kender indgrebene, og automatikingeniøren kender styringens muligheder. SRS fastholder resultatet af deres fælles beslutning. Det er det rigtige tidspunkt at opdage, at den planlagte funktion standser maskinen, men også gør den umulig at betjene.
Springer du ISO 12100 over, starter du arbejdet med ISO 13849-1 uden de svar, standarden behøver. Først fastlægges beskyttelsen. Derefter beskriver SRS kravene til styringen.
En bevægelse, som mennesket behøver, forsvinder ikke, fordi vi kalder den farlig
Vi vender tilbage til fastspændingen. Nogen minder om, at standsning ved åbning af afskærmningen er en gennemprøvet funktion. Det er korrekt. Men emnet skal stadig placeres, før produktionen kan begynde.
Maskinspecifikke standarder hjælper med at bryde ordet »sikkerhed« ned i opgaver, bevægelser og betingelser. Så bliver det tydeligt, hvorfor én korrekt reaktion fra styringen ikke beskriver beskyttelsen under hele arbejdet.
Klemmen skal også kunne fastholde emnet før bearbejdningen
På et bearbejdningscenter skelner vi mellem automatisk drift og manuel placering. For begge situationer undersøger vi nødvendige bevægelser, adgang til deres virkninger og den relevante beskyttelse. Hvis fiksturen kræver bevægelse med åben afskærmning, skal projektet gøre denne handling sikker.
Hvis blokeringen blot fjernes, ændres programmet. Hånden og kæberne bliver stående samme sted.
ISO 16090-1 behandler for de omfattede værktøjsmaskiner fastspænding af emnet, overvågning af fastspændingen og betingelserne for at starte arbejdet. Spørgsmålene går derfor længere end til dørens position.
Er emnet fastholdt? Hvilke bevægelser må frigives? Hvad sker der ved energitab? Svarene kan kræve en anden opspændingsanordning, en anden styring eller en helt anden rækkefølge.
Når en type C-standard angiver et krav eller PLr, skal anvendelsesbeskrivelsen og betingelserne følge med. Bogstavet er let at kopiere ind i en tabel. Det er sværere at opdage, at det stammede fra en række om en anden adgang eller en anden maskintilstand.
SRS skal gøre det muligt at genskabe beslutningen: Hvilken opgave gjaldt funktionen, og hvorfor kræves netop denne beskyttelse? Før funktionen vælges, afklarer vi placering og fastspænding. Bevægelser under adgang og fastholdelse efter energitab kræver egne beslutninger.
Ballepresseren er færdig med at presse. Nu skal ballen tages ud
Lad os gå til en lodret ballepresser til affald. Konstruktøren har behandlet pladens bevægelse under presningen. Dørene var lukkede, adgangen overvåget, og cyklussen er afsluttet.
Operatøren skal stadig binde og fjerne ballen. Han åbner døren, skifter position og bruger de bevægelser, der er nødvendige for udtagningen. I cyklusbeskrivelsen er maskinen færdig. Ved maskinen er mennesket først nu ved at afslutte sit arbejde.
EN 16500:2014 har særskilte krav til denne fase. Det gælder bestemte lukkede, lodrette ballepressere med manuel binding – ikke enhver maskine, der komprimerer affald.
Punkt 5.1.4 behandler udskydning af ballen, betjening uden for dens vælteområde og udsyn. Ved adgang gennem en åben dør til pladens farlige opadgående bevægelse forudsættes tohåndsbetjening. Punkt 5.2.2 tildeler denne funktion PLr d.
I SRS beskrives opgaven, bevægelsen og beskyttelsesbetingelsen samlet. Derefter kontrolleres også returløbet for udskydningssystemet. Ordet »presning« omfatter ikke alle de situationer, der opstår under udtagningen.
Den nævnte udgave af EN 16500 henviser til EN ISO 13849-1:2008. Denne sammenhæng mellem udgaverne skal med ved valg af standarder. PLr d fra det beskrevne tilfælde bliver ikke af den grund en fælles risikovurdering for hele ballepresseren.
Materialet bevæger sig stadig i den standsede zone
Nu fjerner operatøren en blokering mellem to maskiner. Drevene i hans zone står stille. Nabomaskinen fører fortsat materiale gennem en procesåbning. Den lokale styring har udført sin opgave.
Materialet kender ikke leverancegrænserne.
ISO 11161:2007 med Amd 1:2010 retter opmærksomheden mod opgavezoner og grænseflader i integrerede produktionssystemer. Punkt 8.1.4 vedrører beskyttelse ved materialestrøm mellem zoner.
I punkt 8.8.1 omfatter specifikationen blandt andet driftsmåder, menneskelig interaktion, systemadfærd, grænseflader og reaktioner på fejl. To separate beregningsrapporter efterlader netop denne fælles del til integratoren.
Standsningens omfang eller en anden passende sikring af grænsefladen skal aftales sammen med adgangsbetingelserne og naboanlæggets adfærd. Det gælder også, hvis et nødvendigt signal forsvinder. Personen, der fjerner blokeringen, skal være beskyttet under hele indgrebet.
Sætningen »grænsefladen er integratorens ansvar« udpeger den ansvarlige, men udfører ikke arbejdet i nogen af maskinerne. Beskyttelsens omfang afhænger også af de farer, materialestrømmen fører mellem zonerne.
Uden for den automatiske cyklus har mennesket stadig arbejde at udføre. Fastspænding, udtagning af en balle og fjernelse af blokeringer kræver hver deres vurdering af bevægelser, adgang og energi. SRS skal føre beskyttelsen gennem hele opgaven.
Klemmen er standset. Hvad skal der ske med emnet?
»Når afskærmningen åbnes, skal maskinen standse.« Automatikingeniøren peger på den ubevægelige klemme. Konstruktøren ser på emnet, som operatøren stadig holder i hånden.
De ser den samme maskine. Ordet »standse« gjorde det blot muligt et øjeblik ikke at aftale, hvad der fysisk skulle ske.
I specifikationen angiver vi derfor funktionens navn, forbindelsen til faren, den udløsende hændelse og den reaktion, udgangene skal iværksætte. Vi nævner konkrete bevægelser og det beskyttede område. Først da kan vi afgøre, hvordan bevægelserne standser, og hvilken tilstand der kræves bagefter.
Manuel placering under adgang får egne krav i overensstemmelse med sikkerhedskonceptet. Separat beskrives det, at en åben afskærmning i automatisk drift skal forhindre start af de identificerede farlige bevægelser.
Standsning og forhindring af uventet start kan bruge fælles delsystemer. Hver funktion behøver stadig en tydelig beskrivelse og kontrol. Operatørens behov for beskyttelse ophører ikke, når styringen modtager den næste kommando.
Igen kommer forslaget: Sluk det hele
På diagrammet ser ideen overbevisende ud. Udgangene kobles fra, energien forsvinder, og sagen virker lukket. Så tilføjer konstruktøren en detalje: Ved tryktab kan klemmen måske slippe emnet.
Nu taler vi ikke længere kun om standsning. Vi skal også afklare fastholdelse af belastningen og varigheden af den krævede tilstand. En frakoblingskommando svarer ikke på, hvad der holder emnet bagefter.
SRS beskriver den fysiske tilstand, som følger af risikovurderingen: standsede bevægelser og nødvendig fastholdelse. Hvis der findes en lodret, tyngdebelastet akse, skal beskyttelse mod fald også med. Projektet skal derefter vise, hvordan kravene opfyldes.
Teamet gennemgår energisvigt, uacceptable variationer og genetablering af energi. For hver situation fastlægges systemets adfærd. Dermed bliver tilbagevendende tryk eller spænding ikke en ubeskrevet del af sekvensen.
Fejldetektering behandles separat: Reaktionen skal føre til en sikker tilstand, og denne tilstand skal om nødvendigt opretholdes indtil reparation. Ved samtidig aktive funktioner skal prioritet og konflikter afklares. En standsning må ikke uden vurdering fjerne den beskyttelse, som belastningen kræver.
Sensoren har allerede reageret. Mekanikken behøver stadig tid
Mennesket venter ikke ved afskærmningen, til mekanikken finder det praktisk at standse. Personen rækker ind mod et konkret sted. Teamet må derfor vende tilbage til personens position, adgangsmulighederne og tiden frem til den krævede tilstand.
Automatikingeniøren viser sensorens reaktionstid. Men bagefter arbejder logik, kommunikation, aktuatorer og mekanik videre. SRS skal stille krav til maskinens samlede reaktionstid, inklusive standsning af bevægelsen.
Ved placering af beskyttelsesanordninger efter ISO 13855 skal de korrekte standsningsdata og vurderingsbetingelser bruges. Belastning, værktøj, temperatur og slitage kan ændre resultatet. En katalogværdi erstatter ikke målingen af hele maskinens adfærd.
Mangler dataene, skal det stå åbent, hvem der leverer dem, og hvilke beslutninger der afventer resultatet. En foreløbig værdi skal senere bekræftes, ellers må designet ændres.
Ellers bygger leverandøren afskærmningen omkring et tal, som automatikingeniøren kun betragtede som et skøn. Ved afleveringen vil begge huske, at tiden »blev drøftet«.
Operatøren skifter driftsmåde og lukker derefter døren
Emnet venter stadig på at blive spændt fast. Hvis konceptet tillader bevægelse under adgang, skal SRS angive driftsmåden og betingelserne for bevægelsen. Den valgte driftsmåde skal være entydig, og skiftet mellem driftsmåder skal bevare den nødvendige beskyttelse.
Valg af driftsmåde starter ikke i sig selv en bevægelse. Teksten »service« på skærmen beskytter heller ikke noget ved klemmen. Først den aftalte adfærd giver automatikingeniøren et krav, som kan implementeres.
Rengøring og reparation af opspændingsanordningen skal også behandles. Nogle arbejder kræver adskillelse fra alle energikilder og sikring af afbryderudstyret i afbrudt position. Andre kræver en passende beskyttet bevægelse. Risikovurderingen for opgaverne skal afspejles i kravene.
Løsningen til placering af et emne overføres ikke automatisk til enhver reparation. Personen kan stå et andet sted og nå andre farer. Et nyt navn på opgaven i instruktionen ændrer ikke den fysiske adgang.
Efter fastspændingen lukker operatøren afskærmningen. Sensoren bekræfter dørens position. Den fortæller ikke automatisk, om nogen er blevet tilbage i zonen, eller om de øvrige beskyttelsesforanstaltninger fungerer. Ved arbejde med to personer bliver spørgsmålene endnu vigtigere.
SRS fører tilbagevenden til drift gennem fastlagte betingelser for reset og genstart. Hvis risikovurderingen kræver manuel reset, vælges et sted uden for farezonen med nødvendigt udsyn og uden mulighed for aktivering inde fra zonen.
Reset er en tilsigtet handling, som er adskilt fra start. Signalet skal overvåges for den krævede tilstandsændring. Reset må ikke selv skabe en farlig situation, og de relevante sikkerhedsfunktioner og tekniske beskyttelsesforanstaltninger skal allerede være aktive.
Hvis en del af zonen ikke kan ses, kræves en egnet løsning, eksempelvis en resetsekvens eller overvågning. Et begrundet automatisk reset kan også være muligt, blandt andet hvis kontinuerlig persondetektering forhindrer en farlig situation.
Dokumentet skal fastholde valget for den konkrete anvendelse. Hvis reset er en sikkerhedsfunktion, skal funktionen også have et PLr. To knapper med samme tekst har ikke nødvendigvis samme sikkerhedsmæssige rolle.
Hvis en føder står ved siden af, skal leverandøren kende den krævede tilstand under adgang til opspændingsanordningen og reaktionen ved signaltab. Integratoren koordinerer grænsefladerne. »STOP sendt« beskriver afsenderen. Specifikationen skal også beskrive, hvordan og hvornår modtageren reagerer.
Ét emne beskriver ikke hele driften
Operatøren har demonstreret fastspændingen én gang, men på skiftet gentages den. Vi registrerer, hvor ofte funktionen aktiveres, og hvor ofte dens elementer arbejder. Adgang for hvert emne giver andre driftskrav end et sjældent indgreb.
Miljø, rengøring og vedligeholdelse skal også med. Komponentdata skal holdes op mod den reelle belastning og anvendelsesbetingelserne – også hvis samme komponent allerede fungerer på en anden maskine.
Før SRS afsluttes, får hver funktion et PLr med den tilhørende begrundelse: risikovurderingen eller et relevant krav fra en type C-standard med de gældende betingelser. For opspændingsanordningen er det kravet til denne konkrete anvendelse, der tæller.
Det opnåede PL vurderes senere for den implementerede løsning. Nu fastlægger teamet det krævede PLr. At værdierne står i to nabokolonner, må ikke skjule forskellen.
Skriv det, så den næste automatikingeniør ikke skal gætte
Antag, at teamet vælger en mekanisk holder, som understøtter emnet. Operatøren kan lægge emnet på plads og trække hænderne væk, før afskærmningen lukkes og klemmen startes. Det er én mulig løsning. Hvis opgaven stadig kræver bevægelse med åben adgang, skal denne bevægelse have passende beskyttelse og egne krav.
Lad os skrive beslutningen ind i kortet for én funktion. PLr d, 200 ms og de øvrige værdier nedenfor er fiktive eksempeldata. De må ikke kopieres direkte til en maskine. Det konkrete projekt skal begrunde værdierne og anvende de relevante type C-krav.
| Felt i SRS | Eksempel på krav | ISO 13849-1:2023 |
|---|---|---|
| Funktion og begrundelse / SF-01, APP-01 | SF-01: Standsning og forhindring af drevet bevægelse af klemmen under adgang til holderen. TASK-L01: Placering af et emne på 12 kg. HS-01: Fingre i kæbernes område. Forbindelse til risikovurderingen: RA-L01. | 5.1; 5.2.1.2; 5.2.1.3 a) |
| Udløsende hændelse / REQ-01 | Anmodning om adgang eller tab af den krævede lukkede eller låste tilstand for afskærmningen, mens bevægelse er frigivet. Åben adgang opretholder spærringen. | 5.2.1.3 b) |
| Krævet virkning / REQ-02 | Stands kæbernes bevægelse og forhindr ny drevet bevægelse under adgang. Afskærmningen må ikke låses op, før alle nødvendige betingelser er opfyldt. Emnet understøttes af en uafhængig mekanisk holder. | 5.2.1.3 c) |
| PLr og grundlag / REQ-09 | PLr d – en didaktisk antagelse i det fiktive RA-L01. I et virkeligt projekt skal værdien følge af egen risikovurdering eller et relevant type C-krav. Dette er ikke systemets opnåede PL. | 5.2.1.3 d); 5.3 |
| Tid og adgang / REQ-03 | Højst 200 ms – fiktiv grænse fra hændelsen ved afskærmningen til den angivne bevægelse er ophørt, inklusive mekanikken. Tallet alene dokumenterer ikke sikker adgang. | 5.2.1.3 e) |
| Driftsmåder / REQ-04 | Automatisk drift og manuel ilægning. I denne version tillades drevet fastspænding ikke med åben afskærmning. Kræver den virkelige opgave det, skal risikovurderingen og specifikationen genåbnes. | 5.2.1.3 f) |
| Grænseflader / REQ-05 | Bekræftelse af klemmens krævede tilstand er kun én adgangsbetingelse. De krævede tilstande for spindel, akser og føder beskrives i de øvrige funktioner. Modtagelse af et signal erstatter ikke den krævede reaktion. | 5.2.1.3 g) |
| Fejl / REQ-06 | En detekteret fejl, der påvirker funktionen, blokerer ny bevægelse og adgangsfrigivelse, indtil den krævede tilstand er nået. Tilstanden opretholdes, indtil den relevante fejl er afhjulpet. | 5.2.1.3 h) |
| Energi / REQ-07 | Tab og tilbagevenden af energi må ikke skabe farlig bevægelse eller frigive det understøttede emne. Holderens mekaniske egenskaber kræver separat dokumentation; den får ikke PLr, blot fordi den nævnes i kortet. | 5.2.1.3 i) |
| Hyppighed og miljø / APP-02, APP-04 | Eksempel: 40 adgange pr. time, 16 timer pr. dag og 250 dage pr. år, svarende til 160.000 aktiveringer pr. år. Indendørs miljø, 5–40 °C, kølemiddel og spåner er antaget. | 5.2.1.2; 5.2.1.3 j) |
| Prioritet / REQ-10 | Funktionsanmodningen har prioritet over normal START af klemmen. Samspillet med andre funktioner må ikke fjerne fastholdelsen eller tillade for tidlig adgang. | 5.2.1.3 k) |
| Type C-standard / APP-03 | Anvendelsesområdet og krav til blandt andet fastspænding og adgang kontrolleres. For den hypotetiske værktøjsmaskine vurderes ISO 16090-1. Punkter og anvendelsesresultat skal registreres, før SRS afsluttes. | 5.2.1.3 l) |
| Tilbagevenden til drift / REQ-08 | Når de krævede tilstande er genetableret, udføres et separat, tilsigtet reset og en separat startkommando. Lukning af afskærmningen, reset og tilbagevenden af energi må ikke i sig selv starte klemmen. | 5.2.1.3 m) |
| Kontrol og version | REQ-01…10 forbindes med analyser, prøverne VT-01…06, designet og den vurderede konfiguration. Ændring af emne, driftsmåde eller parametre kræver en vurdering af påvirkningen. | 5.4; 10; 12 a) |
Et kort for én funktion er kun et uddrag af SRS. Maskingrænser, menneskelige opgaver, input fra risikovurderingen, øvrige funktioner, grænseflader og dokumentstyring skal også med. Hvert »ikke relevant« kræver en begrundelse.
SafetySoftwares engelske PDF indeholder det udbyggede SF-01-eksempel, prøvekriterier og udfyldelige kort til projekt, funktioner og evidens. Eksemplet viser arbejdsmetoden; felterne skal udfyldes med projektteamets faktiske beslutninger.
Download SRS-eksemplet og de udfyldelige skabeloner (PDF, på engelsk)
Nu skal vi udføre det, vi har skrevet
Vi ved, hvordan operatøren placerer emnet, hvilke bevægelser der er nødvendige, og hvad der skal ske ved energitab. Funktionerne har fået PLr. Det kan friste nogen til at erklære sikkerheden for afsluttet.
Indtil videre har vi kun aftalt, hvad der skal gøres. Maskinen gør det ikke endnu.
Nu vælges arkitektur og delsystemer, og logik samt parametre udvikles. Belastning, diagnostik, miljø og samspil med mekanikken kontrolleres. Ventilen skal føre systemet til den krævede tilstand, og drevfunktionen skal passe til den faktiske bevægelse.
Opspændingsanordningen skal også fremstilles og kontrolleres. Dens geometri skal muliggøre den valgte fastspænding. Et korrekt programvilkår erstatter ikke den komponent, der skulle holde emnet uden operatørens hånd.
Tidligere validerede delsystemer kan spare tid. ISO 13849-1 tillader dem, når integrationsbetingelserne er opfyldt. Data og anvendelsesbegrænsninger bevares, og den komplette funktions sammenkobling dokumenteres.
Ved vurdering af det opnåede PL efter ISO 13849-1 kontrolleres forholdet til PLr, pålidelighed, arkitektur, diagnostik og fællesfejl. Systematiske fejl, software, miljø og ergonomi skal også vurderes.
Programmet kan stadig tillade bevægelse i den forkerte driftsmåde. Pålidelighedsmodellen kan være korrekt, mens fejlen ligger i logikkens frigivelsesbetingelse. Netop dette vilkår skal findes og prøves.
En fejludelukkelse kræver tilsvarende et grundlag, som er gyldigt ved den faktiske montering og anvendelse. Beregningsværktøjet ser ikke, at opspændingsanordningen senere er blevet ændret på fabriksgulvet.
Bag overensstemmelseserklæringen skal hele arbejdet være udført
SRS alene er ikke nok til at erklære fuld overensstemmelse med ISO 13849-1. De relevante aktiviteter inden for design, verifikation, validering og dokumentation skal være gennemført for alle anvendelige krav.
Det tager få sekunder at skrive standardnummeret. Arbejdet, som nummeret skal repræsentere, fylder mere end én linje i en erklæring.
At ISO 12100 ikke står på standardlisten, beviser ikke i sig selv, at risikovurderingen mangler. Det afgørende er indholdet, beslutningerne og deres anvendelse i projektet. Omvendt mangler der stadig input, hvis opgaven blot lyder »lav PL d« uden angivelse af opgaven og den nødvendige beskyttelse.
Når løsningen er udført, vender vi tilbage til risikovurderingen for hele maskinen. Vi kontrollerer den tilsigtede risikoreduktion, og om den er opnået uden at indføre nye farer.
En ændret opspændingsanordning kan holde emnet bedre, men kræve en anden udtagningsmetode. Den næste opgave skal også vurderes. Den iterative proces efter ISO 12100 vender tilbage til den virkelige maskine i stedet for at slutte ved den korrigerede tegning.
SRS åbner det arbejde, som senere skal dokumenteres. Valg, integration, vurdering af PL, verifikation og validering skal vise, at den udførte funktion opfylder kravene under de tilsigtede betingelser. Dokumentet gør det ikke alene.
Maskinen er standset. Prøven er ikke slut
Vi åbner afskærmningen igen. Denne gang ved vi, hvilke bevægelser der skal ophøre, hvor hurtigt det skal ske, og hvordan emnet skal fastholdes. Styringen melder den forventede tilstand. Den prøveansvarlige ser også på mekanikken.
Bevægelse, belastning, fastholdelse og tilbagevenden til drift skal bekræftes. Hvert resultat forbindes med et konkret krav. En status på skærmen beskriver ikke hele prøvens resultat.
Arbejdet begyndte før maskinen blev bygget. Punkt 5.4 kræver gennemgang af SRS før designet: Svarer funktionerne til risikovurderingen, og indeholder specifikationen de nødvendige krav?
Validering af SRS efter 10.2 kan afsløre udeladelser, fejl og uoverensstemmelser med anvendelsen, betingelserne og rimeligt forudsigelig forkert anvendelse. En overset opgave er billigere at finde, mens opspændingsanordningen stadig kun findes på tegningen.
Valideringen af realiseringen kontrollerer opfyldelsen af SRS og de øvrige relevante krav. Den bruger analyser og prøvninger efter en plan. Analyser kan begynde parallelt med konstruktionen; afsluttende prøver på den fysiske maskine lukker den tilsvarende del af arbejdet.
Kontrollér også den bevægelse, operatøren har brug for
Ved afskærmningen kontrolleres udløsning, reaktion, tid og opretholdelse af den krævede tilstand. Derefter prøves placeringen af emnet. Hvis SRS tillader bevægelse under adgang, skal prøven udføres netop under disse betingelser.
Derefter følger skift af driftsmåde, afslutning af opgaven, reset og genstart. Operatøren skal gennemføre hele det aftalte arbejdsforløb. Én vellykket åbning af døren gengiver ikke alt det, der sker ved de næste emner.
I en linje observeres også nabomaskinen. Bekræftelse af, at dens styring har modtaget signalet, er kun en del af kontrollen. Den krævede tilstand for det samlede system skal dokumenteres med forsinkelser og indbyrdes påvirkning.
Separate leverandørprotokoller standser ikke materialet ved grænsefladen. Adfærden skal prøves inden for det aftalte integrationsomfang.
Planen omfatter relevante analyser og prøver ved fejl, signaltab og ændringer i energiforsyningen. De skal udføres under kontrollerede forhold og med beskyttelse af de kompetente personer, der gennemfører dem.
Ved opspændingsanordningen vender spørgsmålet om fastholdelse efter afbrydelse tilbage. Standsning af bevægelsen og sikring af belastningen skal mødes i samme resultat – ikke i to uafhængige beskrivelser.
Protokollen angiver prøvebetingelse, kriterium, resultat og maskinkonfiguration. Ved tidsmåling registreres også metode og forhold. Den næste person skal kunne se, hvilken belastning der blev prøvet, og hvilken adfærd der blev accepteret.
Programmet er rettet. Protokollen husker stadig den gamle version
Automatikingeniøren har ændret betingelsen for bevægelsesfrigivelse, men prøveplanen kontrollerer stadig den gamle. Begge parter kan lukke deres dokumenter, selv om de beskriver forskellige konfigurationer. Krav, design og evidens skal derfor vedrøre samme vurderede version.
Ændringen spores fra SRS til de relevante resultater, og påvirkningen af andre funktioner vurderes. En rettelse ved klemmen forsvinder ikke fra vurderingen, bare fordi den allerede ligger i programmet.
Standarden anbefaler, at personerne, som validerer, er uafhængige af designet af SRP/CS. En person uden for projektet spørger lettere til den antagelse, som konstruktøren ikke længere ser. Det kræver kompetence, en egnet proces og dokumenterede resultater.
Det betyder ikke et generelt krav om ekstern certificering af enhver funktion. Det udførte arbejde og dets omfang afgør, hvad der er dokumenteret. Resultat, metode og konfiguration skal vise, hvilken maskinadfærd der faktisk blev vurderet.
Nogle måneder senere ankommer et større emne
Det større emne kan stå på bordet, og opspændingsanordningen kan lukkes. På gulvet kommer den velkendte bemærkning: »Maskinen kan jo godt gøre det.« Før vi prøver med bevægelse, vender vi tilbage til maskinens grænser.
Punkt 5.3 i ISO 12100 omfatter grænser for anvendelse, plads, tid og andre forhold. For anlægget kontrolleres de tilsigtede emner og værktøjer, belastninger, fastspændingsmetode og den plads, operatøren behøver. Bordets mål beskriver ikke alene den tilladte anvendelse.
Hvis den nye opgave ligger inden for det vurderede område, kan den være en tilsigtet omstilling. Så bekræfter vi, at de fastlagte sikkerhedsbetingelser stadig er opfyldt for konfigurationen. Et større emne betyder ikke nødvendigvis ombygning.
Men måske skal operatøren nu gå ind fra en side, der ikke kan ses fra resetstedet. Eller måske forlænger et nyt værktøj standsningstiden ud over den værdi, som sikkerhedsløsningen bygger på. Så er en forudsætning for beskyttelsens effektivitet ændret.
Ikke ét modul i styreskabet er udskiftet. Komponentlisten virker derfor beroligende. Men den fortæller ikke, hvorfra operatøren fører hånden ind.
Vi går tilbage til grænserne og risikovurderingen og derfra til kravene i SRS. Ændringens påvirkning af design og tidligere resultater fastlægges. Den nye opgave frigives først efter nødvendig beskyttelse, verifikation og validering.
Det er ikke nok at føje det større emne til dokumentationen. Det udvider ikke automatisk den dokumenterede anvendelse.
Det samme gælder betingelserne for at opretholde beskyttelsen. Hvis den afhænger af inspektion, justering, udskiftning eller en bestemt brugstid, skal oplysningerne nå de personer, der udfører arbejdet.
Ved service gør forbindelsen mellem SRS, risikovurdering og projektdokumentation det muligt at genskabe beslutningerne. Uden registreringen er der kun et telefonopkald til den person, der skrev programmet for flere år siden – og et håb om, at vedkommende husker opgaven.
En ombygning til en ny anvendelse kan også vise sig at være en væsentlig ændring. Et større emne eller en overskridelse af de hidtidige grænser afgør det ikke alene. Det er de retlige kriterier for den faktiske ændring, der er afgørende.
Forordning (EU) 2023/1230 definerer begrebet i artikel 3, nr. 16, og fastlægger forpligtelserne for den, der foretager en væsentlig ændring, i artikel 18. Bestemmelserne finder anvendelse fra 20. januar 2027. En opdateret SRS er kun én del af det arbejde, som ændringen kan udløse.
Ved afleveringen prøver vi det, der blev lovet i SRS: bevægelser, energi, adgang og grænseflader. Ændres opgaven eller betingelserne, skal vi vurdere, om beskyttelsen og dens dokumentation stadig er gyldige.
Før du bestiller det næste sæt komponenter
Lad os vende tilbage til operatøren med emnet. Gennemgangen af én arbejdsopgave afslørede et hul, som hverken fandtes i komponentkataloget eller PL-rapporten. Fikstur, adgang, bevægelser og adfærd ved energitab skulle først aftales.
Disse beslutninger skabte en reel designopgave. Nu kan styringen vælges, og det kan kontrolleres, om den leverer den nødvendige beskyttelse. Certifikater og beregninger har endelig noget konkret at forholde sig til.
Ved den næste maskine bør forløbet gennemgås sammen med en person, som kender arbejdet ved anlægget. Find opgaven og farerne i risikovurderingen, kravene i SRS og svarene i designet og prøveresultaterne. Så bliver det synligt, hvor argumentationen eventuelt knækker.
Og når nogen foran det færdige styreskab spørger, om sikkerheden nu er på plads, så vis, hvordan operatøren skal spænde emnet op, og hvad der beskytter hånden. Det forkorter som regel diskussionen om komponenter ganske effektivt.
Kilder og afgrænsning af eksemplerne
Grundlaget er de angivne udgaver og punkter. Eksemplerne viser, hvordan krav kan formuleres; hver maskine kræver en selvstændig vurdering af det relevante anvendelsesområde.
- ISO 13849-1:2023 , maskinsikkerhed – sikkerhedsrelaterede dele af styresystemer – del 1: Generelle principper for konstruktion: 4.1–4.6, 5.1–5.4, herunder 5.2.1.3 og 5.2.2–5.2.3 samt afsnit 6–10 og 12–13.
- ISO 12100:2010, maskinsikkerhed – generelle principper for konstruktion – risikovurdering og risikoreduktion: afsnit 4–6, især 5.3–5.4.
- ISO 16090-1:2022 , sikkerhed for værktøjsmaskiner – bearbejdningscentre, fræsemaskiner og transfermaskiner – del 1: Sikkerhedskrav: 5.2.5.5 om fastspænding af emner.
- EN 16500:2014 , maskiner til komprimering af affald eller genanvendelige fraktioner – lodrette ballepressere – sikkerhedskrav: 5.1.4 og 5.2.2. Omfanget er bestemte lukkede, lodrette ballepressere med manuel binding. Udgaven henviser til EN ISO 13849-1:2008.
- ISO 11161:2007 med Amd 1:2010, maskinsikkerhed – integrerede produktionssystemer – grundlæggende krav: 7.1–7.2, 8.1.4 og 8.8–8.10.
- ISO 13855:2024, maskinsikkerhed – placering af beskyttelsesanordninger i forhold til menneskekroppens tilgang: bilag B og D om standsningsdata og vurderingsbetingelser.
- Europa-Parlamentets og Rådets forordning (EU) 2023/1230 om maskiner : artikel 3, nr. 16, om definitionen af væsentlig ændring; artikel 18 om forpligtelser; artikel 54 om anvendelsestidspunkter.