Tekniske beskyttelsesforanstaltninger i maskiner: Papiret kan bære enhver standard – det kan maskinen ikke

Det værste sted at begynde projekteringen af tekniske beskyttelsesforanstaltninger i maskiner er overensstemmelseserklæringen fra en maskine, der ligner. Alligevel sker det ofte. Risikovurderingen er ikke afsluttet, ingen kender den reelle standsningstid, og operatørens indgreb ved rengøring og fastkørsel er endnu ikke undersøgt. Men nogen spørger allerede: Hvilke standarder skal stå i erklæringen?

Svaret ligger fristende tæt på: ISO 12100, en relevant type C-standard og nogle velkendte type B-standarder. Kopiér, indsæt og underskriv. Dokumentet ser professionelt ud.

Men en standard i erklæringen er ikke bare et nummer. Producenten erklærer, at de relevante krav faktisk er anvendt, at standardens anvendelsesområde passer til maskinen, og at løsningen er verificeret. Hvor er sporet fra fare til valg af afskærmning? Hvorfor kræves afskærmningslåsning? Hvilket PLr gælder for sikkerhedsfunktionen? Hvilken måling viser, at faren ophører hurtigt nok?

Hvis de spørgsmål ikke kan besvares, er standardlisten ikke dokumentation. Den er en række tekniske påstande, som producenten endnu ikke kan underbygge.

Tekniske beskyttelsesforanstaltninger i maskiner begynder med restrisikoen

ISO 12100 opstiller en klar rækkefølge for risikonedsættelse. Først anvendes iboende sikre konstruktionsforanstaltninger. Derefter anvendes tekniske beskyttelsesforanstaltninger og supplerende beskyttelsesforanstaltninger. Til sidst håndteres den resterende risiko gennem brugsinformation.

Trin to begynder altså ikke, fordi 3D-modellen er frigivet til produktion, eller fordi en afskærmning er lettere at montere end en mekanisme er at omkonstruere. Det begynder, når mulighederne for at fjerne eller reducere faren gennem konstruktionen reelt er undersøgt.

Maskinen skal måske stadig skære, presse, rotere eller føre materiale frem. Et varmt emne kan fortsat være varmt efter processtop, og en tung last kan fortsat falde, selv om motoren er spændingsløs. Hvis den farlige egenskab ikke kan fjernes uden at fjerne maskinens funktion, skal eksponeringen forhindres eller afbrydes, før der opstår skade.

Her bliver spørgsmålene konkrete:

• Skal operatøren have adgang under normal drift?
• Sker indgreb hvert tiende sekund eller kun ved ugentlig rengøring?
• Hvor længe fortsætter den farlige bevægelse efter et stopsignal?
• Kan maskinen udslynge emner, væske eller spåner?
• Kan en person passere beskyttelsesanordningen og blive stående uopdaget i fareområdet?
• Hvordan fjernes fastkørt materiale, og hvilke energier skal isoleres?

En fast afskærmning er ofte rigtig, hvor adgang ikke er nødvendig. Ved hyppige indgreb kan den hurtigt blive en hindring, som medarbejderne fristes til at afmontere. En bevægelig afskærmning med tvangskobling kan da være mere egnet. Hvis faren ikke er ophørt, før personen kan nå den, kan afskærmningen desuden skulle holdes låst.

En lysgitteranordning kan registrere en person og udløse stop. Den kan ikke standse et udslynget emne, holde støv tilbage eller forhindre væskestænk. Der findes derfor ikke én generelt god beskyttelse. Løsningen skal passe til faren, adgangsbehovet og maskinens faktiske adfærd.

Én afskærmning er ikke lig med én standard

På tegningen ses måske kun én gennemsigtig dør. Det frister til at skrive EN ISO 14120 i erklæringen og sætte flueben. Men døren udløser flere selvstændige tekniske spørgsmål.

Selve afskærmningen skal være stærk nok, være sikkert fastgjort og ikke skabe nye klemsteder. Dens højde, placering og åbninger skal forhindre, at nogen kan række over, under, rundt om eller gennem den. Tvangskoblingen skal være vanskelig at omgå. Hvis faren har efterløb, skal låsen forhindre åbning, indtil faren er ophørt.

Tvangskoblingsanordningen standser heller ikke maskinen alene. Den leverer et signal, som skal behandles af sikkerhedsrelaterede dele af styresystemet. Udgangselementerne skal derefter bringe maskinen i en sikker tilstand. Hele kæden skal opnå det krævede ydelsesniveau og valideres.

Tabellen er ikke en standardpakke, der kan kopieres ind i erklæringen. To næsten ens døre kan kræve forskellige løsninger. Ved én maskine ophører bevægelsen straks. Ved en anden fortsætter et svinghjul i flere sekunder. Én afskærmning skal kun begrænse adgang; en anden skal også kunne tilbageholde udslyngede dele.

Type B-standarder svarer på forskellige spørgsmål fra risikovurderingen. De tilhører ikke automatisk en bestemt komponent.

En type C-standard erstatter ikke risikovurderingen

En standard med maskintypens navn i titlen virker betryggende. Drejebænk, presse, pakkemaskine eller mobil arbejdsplatform: Hvis der findes en type C-standard, er det fristende at antage, at de vigtigste beslutninger allerede er truffet.

Men titlen afgør ikke anvendelsesområdet. En type C-standard dækker bestemte maskinkategorier og de væsentlige farer, faresituationer og hændelser, der er angivet i standarden. Den kan foreskrive en bestemt beskyttelsesforanstaltning, et PLr, en sikkerhedsfunktion eller en prøvningsmetode. Hvis dens krav afviger fra type A- eller type B-standarder, har type C-kravene forrang for de maskiner og farer, som faktisk er omfattet.

Det gælder kun inden for denne afvigelse og kun, når maskinen ligger inden for standardens anvendelsesområde. Ekstraudstyr, sammenkobling med andre maskiner, særlige driftsformer eller lokale arbejdsopgaver kan skabe farer, som standarden ikke dækker. De skal fortsat behandles gennem risikovurderingen efter ISO 12100.

Type C-standarden fjerner heller ikke type B-standarderne. Den henviser ofte direkte til dem. Den kan kræve en afskærmning, men overlade konstruktionen til EN ISO 14120. Den kan kræve tvangskobling og henvise til EN ISO 14119. Den kan fastlægge et PLr, mens projektering og validering udføres efter EN ISO 13849-1 og EN ISO 13849-2.

Eksemplet EN 280: Der findes ikke ét PL for hele maskinen

EN 280-1 for mobile personløftere viser princippet tydeligt. Standarden tildeler krav til konkrete sikkerhedsfunktioner, ikke ét fælles ydelsesniveau til hele maskinen. Tvangskobling af platformens adgangsåbninger, platformens nivellering og overvågning af last eller moment kan have forskellige krav, fordi fejlene kan føre til forskellige konsekvenser.

EN ISO 13849-1 beskriver derefter, hvordan de sikkerhedsrelaterede dele af styresystemet kan projekteres. EN ISO 13849-2 understøtter valideringen. Type C-standarden fortæller, hvad der skal opnås for den konkrete maskinkategori; type B-standarderne beskriver væsentlige dele af, hvordan det projekteres og eftervises.

Tilføjes eksempelvis udstyr til løft af last, kan der opstå nye faresituationer og behov for nye sikkerhedsfunktioner. Én udstyrsændring kan derfor ændre både risikovurderingen, styringsfunktionerne og den relevante standardanvendelse.

En erklæring skaber ikke formodning om overensstemmelse

En lang standardliste, en underskrift og et CE-mærke kan se overbevisende ud. Men formodning om overensstemmelse opstår ikke ved at skrive standardnumre i erklæringen.

Efter maskindirektivet 2006/42/EF følger formodningen af faktisk overensstemmelse med en harmoniseret standard, hvis reference er offentliggjort i Den Europæiske Unions Tidende. Formodningen gælder kun de væsentlige sundheds- og sikkerhedskrav, som standarden reelt dækker.

Maskinforordningen (EU) 2023/1230 viderefører princippet og gør det tydeligt, at også anvendte dele af en standard kan være relevante. Forordningen finder som hovedregel anvendelse fra 20. januar 2027. Frem til overgangen skal producenten være meget præcis om, hvilket regelsæt og hvilken offentliggørelse standardstatus vurderes efter.

En teknisk ny og fagligt værdifuld standard er ikke nødvendigvis harmoniseret under det relevante regelsæt. Før en standard angives, skal producenten kontrollere den nøjagtige udgave, offentliggørelsen, eventuelle begrænsninger, bilag ZA og standardens faktiske anvendelsesområde.

Det er derfor risikabelt at kopiere erklæringen fra en “næsten identisk” maskine. Samme udseende betyder ikke samme adgangsbehov, standsningstid, anvendelse eller PLr. Selv den rigtige type C-standard kan have et smallere anvendelsesområde end forventet.

Sådan dokumenteres tekniske beskyttelsesforanstaltninger i maskiner

For hver standard i erklæringen skal producenten kunne besvare tre spørgsmål:

1. Hvilken fare eller hvilket væsentligt krav gør standarden relevant?
2. I hvilken konstruktion, beskyttelsesforanstaltning eller sikkerhedsfunktion er kravene gennemført?
3. Hvilken beregning, tegning, prøvning eller valideringsrapport dokumenterer resultatet?

Hvis kæden stopper ved standardnummeret, er nummeret pynt, ikke dokumentation. Standardlisten skal kunne genskabes ud fra risikovurderingen, konstruktionsbeslutningerne og prøvningsresultaterne.

En beskyttelsesforanstaltning kan samtidig berøre flere væsentlige krav. En bevægelig afskærmning kan være fysisk barriere, begrænse rækkeafstand, samarbejde med en tvangskobling, være låst under efterløb, udløse en sikkerhedsfunktion og forhindre uventet genstart. Det er ét samlet beskyttelsessystem, men flere tekniske problemer.

Tabellen er en spørgeramme, ikke en erklæringsskabelon. Den præcise dækning skal kontrolleres i den relevante udgaves bilag ZA og i den gældende offentliggørelse fra Europa-Kommissionen.

En tidligere offentliggørelse under maskindirektivet kan ikke automatisk genbruges som grundlag under maskinforordningen. Det er heller ikke tilstrækkeligt, at et krav har samme nummer. Forordningen omfatter blandt andet skærpede forhold omkring eksterne påvirkninger, ændring af sikkerhedsparametre og beskyttelse mod kompromittering. EN ISO 13849-1 kan understøtte funktionel sikkerhed, men løser ikke automatisk alle krav til beskyttelse af forbindelser, konfiguration og programmel.

En overensstemmende komponent beviser ikke maskinens sikkerhedsfunktion

Lysgitteret har en erklæring. Sikkerhedsstyringen har gode data. Afskærmningskontakten er beregnet til sikkerhedsanvendelser, og kontaktorerne har de nødvendige pålidelighedsparametre. Er funktionen dermed dokumenteret? Nej.

Lysgitteret registrerer kun en hændelse. Logikken skal behandle signalet, udgangselementerne skal påvirke energien, og maskinen skal nå en sikker tilstand. Den komplette sikkerhedsfunktion er derfor:

Registrering af person → signalbehandling → aktivering af udgangselementer → ophør af fare → kontrolleret genstart.

Et svagt led kan gøre alle komponentcertifikater praktisk irrelevante. Projektet skal fastlægge, hvilke bevægelser der stoppes, hvilken sikker tilstand der kræves, hvordan funktionen reagerer på fejl, og hvad der sker efter spændingssvigt, nulstilling og lukning af en afskærmning.

PLr gælder for en funktion, ikke for hele maskinen

Det krævede ydelsesniveau, PLr, tildeles en konkret sikkerhedsfunktion. Det kan være fastlagt i en type C-standard eller bestemt gennem risikovurderingen. EN ISO 13849-1 vælger ikke funktionen eller PLr for konstruktøren; standarden beskriver, hvordan de sikkerhedsrelaterede dele af styresystemet projekteres og integreres.

En sikkerhedsstyring, der kan anvendes op til PL e, gør ikke automatisk hele funktionen til PL e. Resultatet afhænger af indgangsenheder, logik, udgangselementer, arkitektur, diagnosticering, fejl med fælles årsag, programmel og integration.

Det krævede niveau kan eksempelvis mistes, hvis en indgangsfejl ikke opdages, to kanaler kan svigte af samme årsag, kontaktorer ikke overvåges, en driftsform omgår dele af funktionen, eller nulstillingen kan aktiveres uden udsyn over fareområdet.

Et beregnet PL er ikke en validering

En beregningsrapport kan understøtte arkitektur, pålidelighedsdata og opnået PL. Den åbner ikke afskærmningen, bryder ikke lysfeltet og måler ikke den færdige maskines standsningstid. Den viser heller ikke nødvendigvis, hvordan programmet reagerer i alle driftsformer og ved forudsigelige fejl.

Validering omfatter både analyse og prøvning. Før det er gennemført, har producenten måske et godt projekt og velegnede komponenter, men ikke endeligt bevis for, at restrisikoen er reduceret tilstrækkeligt.

Overensstemmelse bekræftes med målinger

Prøvningens formål er ikke at bevise, at konstruktøren havde ret. Den skal vise, om konstruktøren havde ret. Hvis målingen modsiger projektforudsætningen, ændres projektet – ikke måleresultatet.

Efter ISO 12100 skal risikonedsættelsen evalueres efter hvert trin. Producenten skal også undersøge, om en ny foranstaltning skaber andre farer eller gør arbejdet så besværligt, at omgåelse bliver sandsynlig.

Den samlede standsningstid skal måles

Ved et lysgitter er reaktionstiden i komponentens datablad ikke nok. Den samlede tid omfatter mindst tiden fra indtrængning i beskyttelsesfeltet til ændring af udgangssignalet samt tiden fra signalændringen til den farlige maskinfunktion reelt er ophørt.

Den sidste del omfatter styring, kommunikation, udgangselementer, drev, bremser og mekanik. Belastning, temperatur, ventilskiftetider, bremseslid og komponentældning kan påvirke resultatet. Den relevante værdi er derfor ikke gennemsnittet af de bedste prøver, men en begrundet maksimal værdi inklusive måleusikkerhed og forventet forringelse.

EN ISO 13855 forbinder mindsteafstanden med systemets samlede reaktionstid gennem sammenhængen:

S = (K × T) + C

Her er T den samlede tid, indtil faren er ophørt. Stiger T, stiger den nødvendige afstand S. En ændring af blot én sikkerhedsparameter kan derfor gøre en tidligere afstandsberegning ugyldig, selv om lysgitteret fysisk står samme sted.

Syv fejl, der går igen i trin to

1. Beskyttelsesanordningen blev valgt før faren var forstået

“Her monterer vi et lysgitter” er ikke en risikobaseret beslutning. Først skal adgangsbehov, fare, efterløb, mulighed for omgåelse og risiko for uopdaget tilstedeværelse undersøges.

2. Type C-standarden blev enten ignoreret eller gjort til hele svaret

Den relevante type C-standard kan fastlægge konkrete funktioner, PLr og prøvninger. Men den dækker ikke nødvendigvis ekstraudstyr, særlige driftsformer eller alle farer ved den konkrete maskine.

3. Én afskærmning blev behandlet som ét standardkrav

Afskærmningsstyrke, rækkeafstand, tvangskobling, låsning, efterløb, funktionel sikkerhed og uventet genstart er forskellige problemer. Ét produkt kan derfor kræve flere tekniske vurderinger.

4. Den nyeste standard blev automatisk betragtet som harmoniseret

Den nøjagtige udgave, offentliggørelsen, regelsættet, begrænsningerne og bilag ZA skal kontrolleres. En nyere standard kan være teknisk relevant uden at give formodning om overensstemmelse.

5. Komponentdokumenter erstattede valideringen

Komponentproducenten validerer ikke integratorens program, ledningsføring, placering af nulstilling, udgangselementer eller den færdige maskines standsningstid.

6. En beregning blev behandlet som et prøvningsresultat

Beregningen beskriver den forventede adfærd. Målingen viser den virkelige. Hvis værdierne afviger, skal årsagen findes og konstruktionen korrigeres.

7. Risikovurderingen blev ikke genåbnet efter montagen

En ny afskærmning kan skabe et klemsted. En låst dør kan indespærre en person. Et lysgitter kan tillade, at nogen bliver stående i området. En besværlig løsning kan fremkalde omgåelse. Risikonedsættelse er en iterativ proces.

Sådan gennemføres trin to efter ISO 12100

1. Beskriv restrisikoen efter trin ét. Angiv person, opgave, farekilde, adgangsmåde, område og mulig skade. “Mekanisk fare” er ikke præcist nok.
2. Kontrollér den relevante type C-standard. Undersøg anvendelsesområde, undtagelser, maskinvariant, væsentlige farer, sikkerhedsfunktioner, PLr eller SIL, prøvningskrav og normative referencer.
3. Fastlæg den nødvendige beskyttelsesvirkning. Skal adgang forhindres, tilstedeværelse registreres, bevægelse standses, energi isoleres eller en afskærmning holdes låst?
4. Specificér hver sikkerhedsfunktion. Beskriv udløsende hændelse, farlige funktioner, sikker tilstand, maksimal reaktionstid, driftsformer, fejladfærd, nulstilling, genstart og krævet PLr eller SIL.
5. Opdel løsningen i tekniske problemer. Vurder konstruktion, afstande, tvangskobling, låsning, styresystem, udgangselementer, energiisolering og adgang hver for sig.
6. Vurder den virkelige arbejdsopgave. Undersøg rengøring, omstilling, fejlafhjælpning og vedligeholdelse – ikke kun den automatiske demonstrationscyklus.
7. Fastlæg acceptkriterier før prøvning. Definér blandt andet maksimal standsningstid, mindsteafstand, PL eller SIL, åbninger, fejlreaktioner og betingelser for oplåsning.
8. Gennemfør verifikation og validering. Brug beregninger, inspektion, måling, fejlprøvning, funktionelle prøver og kontrol af alle driftsformer.
9. Evaluer risikoen igen. Kontrollér restrisiko, nye farer, samspil mellem foranstaltninger, sandsynlig omgåelse og behovet for information til brugeren.

En enkel beslutnings- og dokumentationsmatrix

For hver væsentlig faresituation bør det tekniske dossier mindst indeholde følgende sammenhæng:

Den enkleste kvalitetsprøve af dokumentationen er at vælge én fare og følge den hele vejen til et konkret prøvningsresultat. Gå derefter baglæns fra resultatet til den konstruktionsbeslutning og det krav, som prøven dokumenterer.

Hvis sporet stopper ved et standardnummer, opbevarer dokumentationen en liste – ikke en teknisk begrundelse.

Konklusion: Standardlisten projekterer ikke en sikker maskine

Trin to i risikonedsættelsen handler ikke om at købe en afskærmning, et lysgitter eller en sikkerhedsstyring. Det handler om at kombinere tekniske og supplerende beskyttelsesforanstaltninger, så risikoen reduceres tilstrækkeligt under de opgaver, mennesker faktisk udfører.

Først identificeres restrisikoen efter de iboende sikre konstruktionsforanstaltninger. Derefter kontrolleres den relevante type C-standard, den nødvendige beskyttelsesvirkning fastlægges, sikkerhedsfunktionerne specificeres, og de relevante type B-standarder anvendes på løsningens enkelte dele.

En erklæring for et lysgitter beviser ikke, at det er placeret i korrekt afstand. Sikkerhedsstyringens data beviser ikke, at programmet er korrekt. Et CE-mærket låseelement dokumenterer ikke maskinens efterløb. Et beregnet PL viser ikke, at en person ikke kan omgå beskyttelsen eller blive stående uopdaget i fareområdet.

Det endelige svar kommer fra verifikation og validering på den færdige maskine. Hvis prøvningen modsiger projektet, ændres projektet. Derefter genåbnes risikovurderingen for at kontrollere nye farer, indespærring, omgåelse og den samlede virkning af alle foranstaltninger.

Papiret kan bære enhver standard. Maskinen svarer først under prøvningen – og det svar skal stå i det tekniske dossier.

Med Safety Software kan denne dokumentationskæde registreres konsekvent fra fare og menneskelig opgave til krav, beskyttelsesforanstaltning, prøvning og fornyet risikovurdering.

Fagligt grundlag

De centrale tekniske grundlag omfatter ISO 12100, EN ISO 14120, EN ISO 13857, EN ISO 14119, EN ISO 13849-1 og EN ISO 13849-2, EN IEC 62061, EN ISO 13855, EN IEC 61496-serien, EN ISO 14118, EN ISO 13850, EN 60204-1, EN ISO 4413, EN ISO 4414 og EN ISO 14122-serien. Type C-eksemplet bygger på EN 280-1 og EN 280-2.

Det juridiske grundlag er maskindirektivet 2006/42/EF og maskinforordningen (EU) 2023/1230 samt de gældende offentliggørelser af harmoniserede standardreferencer i Den Europæiske Unions Tidende. En standardhenvisning betyder ikke automatisk, at enhver udgave er harmoniseret. Udgave, status, begrænsninger og dækkede krav skal altid kontrolleres for det relevante regelsæt.

Det retlige grundlag omfatter også Kommissionens gennemførelsesafgørelse (EU) 2023/1586 i den gældende affattelse, Europa-Kommissionens vejledning om anvendelsen af maskindirektivet og den blå vejledning om gennemførelsen af EU-reglerne for produkter. Kommissionens vejledninger kan støtte fortolkningen, men de retsakter, der er offentliggjort i Den Europæiske Unions Tidende, er retligt bindende.