“Bij gevaar drukt de operator wel op de noodstopknop.” Zo kun je proberen de discussie over beveiliging af te ronden. De knop zit erop, het circuit werkt en tijdens de test stopte de machine. Je hoeft dan alleen nog aan te nemen dat iemand het gevaar opmerkt, snel genoeg reageert en alsnog uitvoert wat het ontwerp en de werkplekbeveiliging niet hebben geregeld.
De reflexen van de operator mogen niet meetellen als compensatie voor ontbrekende beveiliging. Een preventieve veiligheidsfunctie moet een bepaald gevaarlijk voorval voorkomen. De noodstopfunctie moet menselijk ingrijpen mogelijk maken bij een bestaande of dreigende noodsituatie: de ontwikkeling ervan tegengaan en de gevolgen van het gevaar beperken. Daarmee kan letsel worden voorkomen. Dat maakt de noodstopfunctie nog geen vervanging voor beveiliging die het gevaarlijke voorval überhaupt moet tegenhouden.
Dat verschil tussen beschermen en hopen op tijdig ingrijpen mag in de risicobeoordeling niet verdwijnen onder de verzamelzin “er is een veiligheidssysteem toegepast”. ISO 13850 noemt de noodstop een aanvullende beschermingsmaatregel. Niet omdat die onbelangrijk is, maar omdat hij andere beveiligingen moet aanvullen en hun afwezigheid niet mag goedpraten.
Dan volgt vaak het tweede misverstand: “Na het indrukken schakelen we alles uit.” Klinkt daadkrachtig. Alleen hoeft een stilstaande machine nog geen veilige machine te zijn. Iemand kan bekneld blijven, terwijl het uitschakelen van apparatuur die bescherming bood de situatie zelfs verergert. Stilstand alleen zegt niet of het gevaar onder controle is.
De taak van de noodstopfunctie kan daarom niet worden gereduceerd tot het afschakelen van zo veel mogelijk apparatuur. Leg vast welke gevaarlijke bewegingen en processen moeten stoppen, in welke volgorde dat moet gebeuren en wat voor de bescherming van mensen actief moet blijven. In bepaalde toepassingen zijn aanvullende beschermende handelingen nodig, niet alleen stilstand.
De operator moet de reactie met één handeling kunnen initiëren. Die persoon hoort vóór het indrukken niet te hoeven bedenken of de gevolgen van het uitschakelen erger zijn dan het huidige gevaar. Dat moet tijdens het ontwerp zijn opgelost. Hoe eenvoudiger de menselijke interventie moet zijn, hoe minder ruimte er overblijft voor ondoordachte machinereacties.
Als de afnametest uitsluitend controleert of de aandrijving stopt, kun je stilstand bevestigen zonder de belangrijkste vraag te beantwoorden: heeft de machine correct gereageerd op de noodsituatie? De notitie “E-STOP werkt” verklaart niet wat de overige beveiliging voorkomt en evenmin wat er na het indrukken met de mens gebeurt.
Dat een machine kan stoppen, bewijst niet dat de juiste bescherming aanwezig is. En het einde van de beweging is niet altijd het einde van het gevaar.
1. Preventie en noodinterventie zijn niet twee oplossingen voor hetzelfde probleem
“Het lichtscherm stopt de machine. De noodstopknop ook. Waarom zo moeilijk doen?” Als de werking van een beveiliging alleen werd bepaald door de vraag of de motor uiteindelijk stopt, was dat een redelijke vraag. Je zou twee schema’s kunnen vergelijken, dezelfde contactor aantreffen en concluderen dat het verschil vooral in de prijs zit.
Alleen is dan vergeten wanneer de machine stopt en wat er vóór dat moment met een mens kan gebeuren. Een preventieve veiligheidsfunctie moet een bepaald gevaarlijk voorval voorkomen. Een noodstopfunctie moet een bestaande of dreigende noodsituatie tegengaan. In beide gevallen kan het nodig zijn een beweging te stoppen. Daarmee lossen ze nog niet hetzelfde probleem op.
Een lichtscherm is er niet om te melden dat iemand het gereedschap al heeft bereikt
Neem een werkplek waar iemand bij bewegend gereedschap kan komen. Stel dat deze toegang met een lichtscherm kan worden beveiligd: de gevaarlijke beweging kan tijdens de cyclus worden gestopt en het gereedschap is niet bereikbaar zonder het detectieveld te passeren.
Het lichtscherm detecteert de hand en initieert de stop. De afstand tot het gereedschap houdt rekening met de reactietijd van het volledige systeem en de uitlooptijd van de machine. De gevaarlijke beweging moet zijn beëindigd voordat de persoon haar kan bereiken. Dát is de opdracht van deze functie. Niet alleen uitgangen schakelen en ook niet alleen de melding “veiligheidsstop” op het bedieningspaneel tonen.
Kan de hand het bewegende gereedschap bereiken voordat de machine stilstaat, dan is tegen dat contact geen bescherming geboden. Dat blijft zo wanneer het lichtscherm zelf correct schakelt, de besturing het signaal ontvangt en de aandrijving het stopcommando uitvoert. Alle componenten kunnen precies volgens ontwerp functioneren, terwijl juist het ontwerp fout is.
Een lichtscherm controleer je daarom niet alleen door de stralen te onderbreken. Je moet aantonen dat detectie en stilzetten werkelijk het voorval voorkomen waarvoor de functie bedoeld is.
Bij een noodstop moet een mens de interventie initiëren
Een noodstopvoorziening neemt de detectie van toegang niet over. Zij stelt een mens in staat de voorziene reactie te starten bij een situatie die onmiddellijk ingrijpen vereist. Daarvoor hoeft nog geen letsel te zijn ontstaan. ISO 13850 omvat ook een dreigende noodsituatie. Iemand kan een gevaarlijke ontwikkeling zien en de knop indrukken voordat schade ontstaat. In een ander geval kan ingrijpen nodig zijn terwijl de gevaarlijke inwerking al voortduurt.
In het eerste voorbeeld activeert detectie van de hand de beveiliging. In het tweede moet een mens de noodzaak herkennen en handelen. Dat verschil verdwijnt niet met de uitspraak “ze stoppen allebei”.
Haal je in het voorbeeld het lichtscherm weg en laat je alleen de noodstopknop zitten, dan is automatische stopzetting na detectie van de hand verdwenen. Een mens moet nu het probleem zien en de reactie starten. Detectie is uit het ontwerp geschrapt. In de onderbouwing staat vervolgens dat de operator is geïnstrueerd. De besparing is echt; de gelijkwaardigheid van de beveiligingen is verzonnen.
Daarom noemt ISO 13850 de noodstop een aanvullende beschermingsmaatregel en verbiedt de norm deze te behandelen als vervanging van technische beschermingsmaatregelen en andere noodzakelijke functies. De noodstop is zelf ook een veiligheidsfunctie. Dat betekent niet dat je er elke gewenste beschermingstaak aan kunt toeschrijven.
Dezelfde veiligheidsrelais wist het verschil niet uit
Functies mogen delen van de besturing gemeenschappelijk gebruiken als aan de toepasselijke eisen is voldaan. Apparatuur vermenigvuldigen om het vermenigvuldigen heeft geen zin. Wel moet voor iedere functie afzonderlijk worden bepaald wat haar activeert en welk beschermingsdoel zij dient.
Bij het lichtscherm controleer je de bescherming tegen gevaarlijk contact. Bij de noodstop controleer je de juiste reactie op de beschouwde noodsituatie, die niet altijd eindigt bij stilstand. Een druk op de noodstopknop bewijst niet dat niemand het bewegende gereedschap kan bereiken. Omgekeerd beantwoordt een correct toegepast lichtscherm niet alle vragen over noodzakelijke noodinterventies.
Een gedeelde contactor kan technisch verdedigbaar zijn. Eén gedeeld vinkje “voldoet” voor twee verschillende beschermingstaken is dat niet.
2. “De operator is snel genoeg” is geen machinebeveiliging
Stel dat bij een handmatige invoerplek een kettingaandrijving bereikbaar blijft. Het risico op meesleuren is herkend. Als beschermingsmaatregelen vermeldt de risicobeoordeling een noodstopknop, markering en instructie van de operator. Daarna wordt het risico aanvaardbaar genoemd.
De ketting is nog steeds bereikbaar. De medewerker voert er nog altijd dezelfde werkzaamheden naast uit. Alleen de kleur van een cel in het werkblad is veranderd. Voor de afscherming was geen budget. De reflex van de operator kon gratis in de risicoscore worden verwerkt.
Wat heeft het risico hier werkelijk verlaagd?
De knop beperkt de toegang tot de aandrijving niet. Hij vermindert niet hoe vaak iemand ernaast werkt en neemt het meesleurvermogen van het mechanisme niet weg. Er is een mogelijkheid gecreëerd om een noodstop te initiëren. Vervolgens moet nog worden aangetoond in welke omstandigheden die interventie kan helpen.
Wie merkt het gevaar op? Waaraan wordt het herkend? Is de voorziening bereikbaar? Blijft tussen herkenning en letsel genoeg tijd over om effectief te handelen? “De operator is geïnstrueerd” beantwoordt maar een deel van die vragen. Het bevestigt voorbereiding op bepaalde handelingen, niet dat iemand in de beschouwde situatie fysiek in staat is ze uit te voeren.
Een handtekening op de presentielijst verkort de uitloop van de machine niet. Ook verlengt die niet de beschikbare tijd tot het meesleuren.
Een noodstop kan de mogelijkheid verbeteren om schade te vermijden of te beperken. De functie is dus niet waardeloos binnen de risicobeoordeling. Maar dat voordeel moet worden gekoppeld aan een concreet verloop van gebeurtenissen. Het mag niet automatisch worden toegekend omdat ergens een rode knop zit. Is effectieve interventie niet aannemelijk gemaakt, dan rechtvaardigen “E-STOP en instructie” geen voldoende bescherming tegen meesleuren.
De tijd is gemeten vanaf het indrukken, niet vanaf het ontstaan van het gevaar
Tijdens de test staat de controleur bij de noodstopvoorziening, weet wat er gaat gebeuren en initieert bewust de stop. De meting geeft de tijd tussen bediening en het beëindigen van de gevaarlijke beweging. Dat is een noodzakelijk resultaat, maar het omvat niet wat in werkelijkheid eerst moet gebeuren: het gevaar opmerken, begrijpen dat ingrijpen nodig is en de handeling uitvoeren.
Voor de besturing is een reactietijd bepaald. Voor de operator is aangenomen dat het wel lukt.
In de werkelijke situatie kan de medewerker beide handen nodig hebben voor de invoer. De knop kan buiten bereik liggen. Of interventie is juist nodig omdat de betrokkene die niet meer zelf kan starten. De aanname dat een collega ingrijpt, moet eveneens worden getoetst. Die tweede persoon moet aanwezig zijn, zicht hebben op de situatie en kunnen handelen. Een collega verschijnt niet bij de machine doordat iemand “hulp door medewerker” in een document zet.
De bereikbaarheid van noodstopvoorzieningen moet daarom worden beoordeeld vanuit de plaatsen en werkzaamheden waar interventie nodig kan zijn, niet alleen vanuit de comfortabele positie vóór het bedieningspaneel tijdens de afname.
Een technisch foutloos systeem kan zijn commando te laat ontvangen. Dat is geen defect aan het relais dat door diagnostiek wordt ontdekt. Het is een niet-getoetste aanname over menselijk handelen. Een snellere besturing herstelt dat niet wanneer het werkelijke probleem vóór het indrukken ontstaat.
“Bijzonder voorzichtig zijn.” Liefst de hele dienst lang
Bij een werkplek staat: “De operator moet bijzonder voorzichtig zijn, de machine voortdurend observeren en bij gevaar onmiddellijk de noodstop bedienen.” Die zin past bij bijna elke machine. Precies daarom verklaart hij zo weinig.
Stel dat de operator producten moet uitnemen, de kwaliteit controleren en ze in een bak achter de werkplek leggen. Tegelijk eist de instructie een “ononderbroken observatie van de gevarenzone”. Om het product weg te leggen moet de persoon zich omdraaien. Die negeert de instructie niet, belt niet en bedenkt geen eigen werkwijze. De operator voert precies de taak uit die de ontwerper heeft voorzien. Dezelfde ontwerper heeft de veiligheid afhankelijk gemaakt van kijken in de tegenovergestelde richting.
De bediening is gepland voor één persoon. De vereiste aandacht kennelijk voor twee.
De opdracht “onmiddellijk stoppen” lost dat niet op. Eerst moet iemand zien dat stoppen noodzakelijk is. Wanneer het beveiligingsconcept op voortdurende observatie berust terwijl de voorziene taken die observatie onderbreken, spreken de uitgangspunten elkaar tegen. Het woord “bijzonder” vóór “voorzichtig” verwijdert die tegenstrijdigheid niet. Het verhoogt alleen de eisen aan de operator zonder diens werkomstandigheden te veranderen.
Waarschuwingen hoeven niet uit de gebruiksaanwijzing te verdwijnen. Ze mogen alleen niet het ontwerpwerk vervangen dat bij de beveiliging had moeten gebeuren. Informatie voor de gebruiker heeft een eigen plaats binnen stap 3 van ISO 12100, maar vervangt geen passende intrinsiek veilige ontwerpmaatregelen en technische beschermingsmaatregelen.
Hetzelfde geldt voor de noodstopfunctie. Zij vult beveiliging aan en verplaatst de beveiligingstaak niet naar de oplettendheid van de mens. De werkplek moet dus ook worden beoordeeld terwijl de operator de voorziene taak correct uitvoert en de aandacht van de machine afwendt. Niet pas na een incident vragen waarom die persoon toevallig niet keek.
“Let op, operator” kan een waarschuwing zijn. Het is geen technische beveiliging in zinsvorm.
3. Een stilstaande machine kan nog steeds gevaarlijk zijn
In een functiespecificatie staat: “Na bediening van de noodstop stoppen de aandrijvingen en gaat de machine naar een veilige toestand.” Het eerste deel is controleerbaar: de aandrijvingen veroorzaken geen gevaarlijke beweging meer. Voor het tweede deel moet worden bepaald welke andere gevaren aanwezig waren en wat daarmee is gebeurd.
“Veilige toestand” achter het woord “stop” typen is eenvoudig. In de echte machine ontstaat dat verband niet door een komma. Het beëindigen van beweging kan de ontwikkeling van de noodsituatie onderbreken, maar iemand onder druk, ingeklemd of zonder ontsnappingsmogelijkheid achterlaten. De machine hoeft geen nieuwe cyclus te starten om schade te blijven veroorzaken.
De snelheid is nul. De klemkracht hoeft dat niet te zijn
Denk aan een rollenstel waarbij veren één rol aandrukken. Een ledemaat wordt gegrepen, de E-STOP wordt bediend en de rotatie stopt. Verder intrekken is onderbroken, maar de rollen blijven op elkaar gedrukt. De aandrijving heeft het commando correct uitgevoerd. De veren werken eveneens precies volgens ontwerp. De persoon zit nog steeds klem.
Dat betekent niet dat de noodstop nutteloos was of het intrekken niet effectief heeft gestopt. Het betekent dat de volledige situatie nog niet is opgelost. Gevaarlijke beweging stoppen en bevrijding mogelijk maken zijn twee verschillende taken die op elkaar moeten worden afgestemd.
Als meesleuren of beknelling in de analyse voorkomt, moet ook worden bepaald hoe iemand kan worden bevrijd. Afhankelijk van het ontwerp kan het nodig zijn elementen uit elkaar te bewegen, de aandrukkracht weg te nemen of een passend ontworpen omgekeerde beweging toe te staan. Geen van die oplossingen is automatisch geschikt voor iedere machine. Een probleem is niet verdwenen omdat het na de stop niet meer beweegt.
ISO 13850 reduceert noodinterventie niet tot stilstand
De noodstopfunctie kan volgens ISO 13850 ook andere functies dan stoppen initiëren, waaronder het omkeren of begrenzen van een beweging. Het doel is de kans op schade te beperken, niet zo veel mogelijk uitgangen uit te schakelen. Gevaarlijke bewegingen en processen moeten worden beëindigd. Daaruit volgt niet dat iedere beweging tijdens een noodreactie per definitie verboden is.
Een passend ontworpen verplaatsing kan juist de mens beschermen. Maar “passend” is hier geen versiering. Bij een omkering moet worden beoordeeld of de tegengestelde beweging bij deze beknelling werkelijk helpt. Wordt het letsel niet erger? Ontstaat elders geen nieuw knelpunt? Wat gebeurt er ondertussen met de aandrukkracht? Welke bewegingsafstand en bedieningswijze zijn nodig?
Het teken van een snelheidswaarde omkeren is nog geen ontwerp van een bevrijdingsfunctie, ook al kost het in de software maar één regel.
ISO 13850 noemt de mogelijkheid van zulke handelingen, maar bevat niet alle gedetailleerde eisen voor de uitvoering. Alleen naar de norm verwijzen bewijst dus niet dat een willekeurige omkering of opening veilig is. Het concrete ontwerp moet worden beoordeeld.
De stop mag bevrijding niet onmogelijk maken
Maak onderscheid tussen een aanvullende handeling die onderdeel is van de E-STOP-reactie en een afzonderlijke functie voor bevrijding na de stop. In het eerste geval is de handeling opgenomen in de ontworpen noodreactie. In het tweede geval voert de noodstop niet de volledige bevrijding uit, maar laat hij die met geschikte middelen wel toe.
Niet iedere machine moet na het indrukken automatisch onderdelen openen of achteruit bewegen. ISO 13850 verlangt wel dat de noodstop geen nadelige invloed heeft op andere beschermingsfuncties. De norm noemt daarbij uitdrukkelijk de bevrijding van ingesloten personen.
Dat is belangrijk wanneer de uitleg luidt: “Bevrijden kan wel, maar eerst moet de normale werking worden hersteld.” Een bevrijdingsfunctie moet reddend handelen mogelijk maken. Zij hoort niet alle productiebewegingen opnieuw beschikbaar te maken in de hoop dat iemand alleen de juiste gebruikt. De activeringsvoorwaarden, beschikbare bewegingen en begrenzingen moeten vooraf zijn ontworpen.
Vraag na de stop dus niet alleen wat er stilstaat. Vraag welk gevaar nog inwerkt en wat is voorzien om dat te beheersen. Een veilige toestand ontstaat niet doordat de programmeur een variabele zo noemt. Die toestand moet ook in de machine bestaan, juist voor de mens die zichzelf niet kan bevrijden.
Stilstand is een toestand van de aandrijving. Veiligheid is een toestand van de volledige mens-machinerelatie.
4. Waarom alles afschakelen de situatie kan verergeren
“Na het indrukken van de noodstopknop schakelen we alle uitgangen uit.” Eenvoudige specificatie, eenvoudig programma. Tijdens de afname is gemakkelijk te controleren of alles donker wordt. Alleen kan achter de ene uitgang een gevaarlijke aandrijving zitten en achter de andere een voorziening die tegen een ander gevaar beschermt. Beide uitschakelen levert niet automatisch dubbele veiligheid op.
ISO 13850 verlangt dat de noodstopfunctie voorrang heeft, maar verbiedt tegelijk dat zij de doeltreffendheid van andere beschermingsfuncties vermindert. Ook kan het nodig zijn hulpapparatuur actief te houden, bijvoorbeeld elektromagnetische houders of reminrichtingen. Dat is geen tegenspraak. Het is een reden om vóór het tekenen van één gezamenlijke voedingsonderbreking te onderzoeken wat van die voeding afhankelijk is.
De aandrijving moet stoppen. Laat daarbij niet de last vallen
Stel dat een installatie een stalen onderdeel verplaatst met een elektromagnetische houder die continu voeding nodig heeft. In dit ontwerp is geen onafhankelijke voorziening aanwezig die het loslaten van de last voorkomt. De ontwerper neemt de bewegingsaandrijvingen en de voeding van de houder op in dezelfde afschakeling.
Na bediening van de E-STOP vallen de aandrijvingen af. De houder verliest zijn vermogen om de last vast te houden. Het commando is foutloos uitgevoerd, inclusief het wegnemen van de ondersteuning.
Dit is geen defecte knop en geen vastgelaste contactor. De apparatuur doet exact wat is ontworpen. De fout zit in de aanname dat alle verbruikers gelijk kunnen worden behandeld omdat ze allemaal elektrisch worden gevoed.
De juiste opdracht luidt: stop de gevaarlijke verplaatsing en behoud de veilige ondersteuning van de last. De technische uitvoering moet voor de concrete constructie worden gekozen en gecontroleerd. Daaruit volgt geen universeel voorschrift om een bepaald circuit onder spanning te houden. Wel volgt de eis dat de ondersteuningsfunctie doeltreffend blijft.
“Maar na een E-STOP hoort er toch geen energie meer te zijn?” De zwaartekracht loopt niet via onze contactor. Zij schakelt niet samen met hem uit.
Ook de blusinstallatie kan voorbeeldig worden uitgeschakeld
Een tweede voorbeeld: een machine heeft een blusinstallatie waarvan de activering elektrische voeding vereist. De blusbesturing en de actuator voor het blusmiddel zijn aangesloten op het circuit dat de E-STOP afschakelt. Materiaal vat vlam. De operator bedient de noodstop. De aandrijvingen stoppen, maar het brandende materiaal blijft gevaarlijk. De blusinstallatie kan haar taak niet meer uitvoeren omdat haar voeding zojuist is verwijderd.
Het blussysteem is volledig in orde. Je moet er alleen voor zorgen dat niemand tijdens brand eerst de noodstop gebruikt. Zo’n voorwaarde hoort niet in een ontwerp thuis.
ISO 13850 noemt brandbestrijding uitdrukkelijk als beschermingsfunctie die door de noodstop niet nadelig mag worden beïnvloed. Dat betekent niet dat het hele proces tijdens brand ongewijzigd door moet draaien. Bepaal welke activiteiten stoppen, welke gevarenbronnen worden afgeschakeld en hoe de brandbeveiliging werkzaam blijft. “Alles uit” beantwoordt die vragen niet. Het slaat ze over.
Stopcategorie 0 betekent niet: de hele machine spanningsloos
ISO 13850 voorziet voor de noodstop in stopcategorie 0 of 1, te kiezen op basis van de risicobeoordeling. Bij stopcategorie 0 wordt de energie naar de aandrijfelementen onmiddellijk weggenomen. Dat betekent niet dat de beweging ook onmiddellijk eindigt; aanvullende remming kan nodig zijn.
Bij stopcategorie 1 blijft de energie voor de aandrijfelementen tijdens het gecontroleerde stoppen beschikbaar en wordt zij na het bereiken van stilstand weggenomen. De stopcategorie beschrijft de wijze van stoppen. Zij is geen opdracht om ieder apparaat op hetzelfde schema uit te schakelen.
De keuze van de categorie ontslaat de ontwerper dus niet van het beoordelen van houders, remmen en blussystemen. Ook de afvaltijd van een contactor bewijst niet dat de gevaarlijke beweging correct is beëindigd of dat de stop geen nieuw gevaar veroorzaakt.
Het gaat er niet om gevaarlijke activiteiten actief te laten onder het mom van “bescherming behouden”. Het gaat om twee afzonderlijke opdrachten: beëindig wat gevaarlijk is en maak niet onwerkzaam wat de mens moet blijven beschermen.
Ze schakelden alles uit. Zo grondig dat ook de bescherming van de mens verdween. De woorden “noodstop volgens de norm” herstellen dat niet.
5. De operator mag niet hoeven gokken of indrukken alles erger maakt
“De operator weet wat in welke volgorde moet worden uitgeschakeld.” Dat kan een beschrijving zijn van een geplande lijnstop. Als uitleg van de noodstop betekent het dat een deel van de besturingstaak aan het geheugen van een mens is uitbesteed. Die moet het gevaar herkennen, zich de relaties tussen apparaten herinneren en de juiste volgorde uitvoeren. Liefst zonder vergissing, want de volgorde zou voor de veiligheid belangrijk zijn.
De volledige productiecyclus is geautomatiseerd. Voor veilig stoppen vertrouwen we ineens op handwerk.
ISO 13850 verlangt dat de beslissing om een noodstopvoorziening te bedienen geen afweging van de gevolgen vereist. Een mens moet herkennen dat interventie nodig is, niet eerst onderzoeken of het indrukken de situatie verergert.
Eén menselijke handeling betekent niet één machinehandeling
De noodstopfunctie wordt met één handeling geïnitieerd. Daarna moeten gevaarlijke bewegingen en processen op de juiste manier stoppen zonder verdere interventie om die stop te bereiken. Daarvoor kan een vooraf bepaalde volgorde nodig zijn. Eén druk kan dus meerdere gecoördineerde handelingen starten.
Dit betekent niet dat alles tegelijk moet afvallen. Evenmin betekent het dat de operator de resterende apparatuur handmatig mag uitschakelen. Als veiligheid een specifieke volgorde vereist, leg je die tijdens het ontwerp vast. Hetzelfde geldt voor de te beëindigen activiteiten, de bescherming die werkzaam moet blijven en de toestand die moet worden bereikt. Alleen “sequentiële stop” opschrijven beantwoordt die vragen niet.
Niet iedere latere bevrijdingshandeling hoeft automatisch te verlopen. Het stoppen zonder verdere interventie betreft de gevaarlijke activiteiten van de machine. Afzonderlijke middelen voor bevrijding kunnen bewuste bediening vereisen. Dat is iets anders dan met een tweede knop pas de beweging stoppen die de ingesloten persoon nog steeds bedreigt.
Iedere leverancier stopte zijn eigen machine. De invoer loopt door
Neem een lijn voor de bewerking van lange profielen. De bewerkingsmachine en de invoer hebben afzonderlijke besturingen. De noodstopvoorziening bij de bewerkingsmachine stopt het gereedschap, maar niet de invoer die het profiel de werkzone in blijft duwen. In de beschouwde noodsituatie kan die voortgaande materiaalbeweging iemand beknellen.
Het gereedschap staat stil. Het profiel beweegt door. De leverancier zegt: “De invoer heeft een eigen noodstopknop.” Dat klopt. Alleen heeft de persoon bij het gevaar zojuist de plaatselijke noodstop bediend zonder de benodigde reactie te krijgen.
De leveringsgrenzen zijn helder. Nu moet de noodsituatie zich daar alleen nog aan houden.
De wisselwerking tussen de machines hoort in de analyse. Als de invoer het beschouwde gevaar in stand houdt, moet de stopreactie die invoer omvatten. Dat iedere machine afzonderlijk op haar eigen knop reageert, bewijst niet dat de reactie van de volledige lijn effectief is.
Daaruit volgt niet dat iedere knop de hele fabriek moet stoppen. Wel volgt dat het werkingsgebied niet wordt bepaald door de grens van een schakelkast of door de naam van de softwareleverancier.
“Welke noodstopknop?” moet vóór de noodsituatie zijn opgelost
Het uitgangspunt van ISO 13850 is dat een noodstopvoorziening op de volledige machine werkt. Verdeling in werkingsgebieden is toegestaan, bijvoorbeeld als het stoppen van alle gekoppelde machines aanvullende gevaren veroorzaakt of de productie onnodig beïnvloedt.
Zo’n verdeling vraagt om een analyse van de opstelling van de machines, de herkenbaarheid van gevaren, procesgevolgen en gekoppelde risico’s. Werkingsgebieden mogen elkaar overlappen. Het activeren van de stop in één gebied mag het risico elders niet verhogen en mag het initiëren van een noodstop in een ander gebied niet blokkeren.
Onnodige productiestilstand vermijden mag. Gevaarlijke invoer laten doorlopen wordt daarmee nog geen productieoptimalisatie.
Een mens moet de noodstopvoorziening met het gevaar kunnen verbinden en het werkingsgebied herkennen. ISO 13850 noemt onder meer plaatsing en pictogrammen en beveelt aan dat iemand voor deze herkenning geen handleiding hoeft te lezen of de verdeling vooraf uit het hoofd hoeft te leren. De aanduiding “S14” helpt de knop in het schema terug te vinden. Zij vertelt de persoon bij de machine nog niet wat werkelijk stopt.
Elektrische documentatie kun je rustig aan een bureau lezen. Tijdens een noodinterventie hoort dat deel van het ontwerp al afgerond te zijn. Hoe eenvoudiger het handelen van de mens moet zijn, hoe nauwkeuriger de machinereactie vooraf moet zijn bepaald.
Een eenvoudige interface vervangt de analyse niet. Zij hoort het resultaat ervan te zijn. Tijdens een noodsituatie organiseer je geen overleg tussen constructeur, automatiseerder en procestechnoloog. Dat overleg moet dan al in het ontwerp zitten.
De operator hoeft maar één keer te drukken. Juist daarom moet het ontwerp vooraf veel meer dan één beslissing hebben genomen.
6. De notitie “E-STOP werkt” vervangt geen beoordeling van de bescherming
“Alle knoppen getest. Resultaat positief.” Het protocol bevat apparaatnummers, data en handtekeningen. Na iedere bediening stopte de machine. Alleen ontbreekt de informatie welke reactie als correct gold, afgezien van het feit dat niets meer bewoog.
De knop is getest aan de hand van zijn schemanummer. Voor de functie hadden ook eisen moeten worden vastgesteld.
Eerst het criterium, daarna pas een positief resultaat
Vóór de test moet duidelijk zijn welk effect vereist is. Welke activiteiten stoppen, binnen welke tijd, in welk werkingsgebied en onder welke omstandigheden? Wat moet werkzaam blijven? Welk gedrag betekent dat niet aan de eisen is voldaan?
Zonder criteria wordt al snel precies datgene goedgekeurd wat toevallig zichtbaar was. De aandrijving stopte na enkele seconden? Dan zal dat wel de bedoeling zijn. De naastgelegen sectie blijft draaien? Die zal wel buiten het werkingsgebied vallen. Als de documentatie niets bepaalt, kan het testresultaat nergens mee in strijd zijn.
Wie het criterium pas na de proef opschrijft, kan een machine ontwerpen die iedere test doorstaat: eis gewoon niet meer dan wat ze zojuist deed.
In de praktijk kunnen de vaststellingen als volgt worden geordend:
| Onderwerp | Wat moet worden bepaald? | Wat leg je vast of wijs je aan? |
|---|---|---|
| Noodsituatie | Voor welke bestaande of dreigende situatie is interventie nodig? Wie kan haar initiëren? | Scenario, menselijke handelingen, machinetoestand en locatie van de bereikbare noodstopvoorziening. |
| Beoogd beschermend effect | Wat moet de functie veranderen? Welke gevaarlijke inwerking moet worden beëindigd of beperkt? | De vereiste toestand en voorwaarden om die te bereiken; zo nodig aanvullende beschermende handelingen en middelen voor bevrijding. |
| Machinereactie | Wat stopt, in welke volgorde, binnen welke tijd en in welk werkingsgebied? | Functiebeschrijving, stopcategorie, volgorde, tijdgrenzen en relaties met gekoppelde apparatuur. |
| Overige bescherming | Wat moet werkzaam blijven? Ontstaat geen nieuw gevaar of verslechtering in een ander gebied? | Eisen aan behouden functies, onderbouwing van de oplossing en resultaten van de controle op hun wisselwerking. |
| Bevestiging | Waarmee is aangetoond dat de uitvoering aan de eisen voldoet? | Analyses, proeven en metingen, testvoorwaarden, configuratie-identificatie en afhandeling van afwijkingen. |
Dit is een voorstel om de controle te structureren, geen formulier uit ISO 13850 en geen volledig validatieplan. De omvang van analyses en beproevingen moet passen bij de concrete functie, machine en beoordelingsmethode.
PL en SIL vullen een ontbrekende functiespecificatie niet aan
ISO 13850 verlangt dat veiligheidsgerelateerde delen van de besturing die de noodstop uitvoeren, voldoen aan de toepasselijke eisen van ISO 13849-1 en/of IEC 62061. De norm noemt ook een minimum: PLr c of SIL 1. Dat minimum betekent niet dat hetzelfde niveau automatisch voor iedere toepassing volstaat. Het vereiste niveau moet voor de betreffende functie worden vastgesteld, rekening houdend met het doel en toepasselijke specifieke eisen.
PL e uit het gegevensblad van een veiligheidsrelais overschrijven is niet genoeg. Je beoordeelt de uitvoering van de functie, niet alleen één component. Zelfs een correcte berekening voor het volledige besturingssysteem vervangt de validatie niet.
ISO 13849-1:2023 maakt onderscheid tussen verificatie van het bereikte PL en validatie door analyse en beproeving. Ook verlangt de norm controle van de samenhang en volledigheid van de functiespecificatie ten opzichte van de bedoelde toepassing.
Dat punt is cruciaal. Validatie is niet blind onderzoeken of de programmeur een verkeerd geformuleerde opdracht nauwkeurig heeft uitgevoerd. Je moet ook controleren of de opdracht zelf juist en volledig was.
Het resultaat moet over de werkelijk gebouwde machine gaan
De controle eindigt niet zodra de beweging stopt. De functie moet in alle bedrijfswijzen beschikbaar zijn, de stoptoestand handhaven en voorkomen dat een startsignaal de gestopte activiteiten hervat. Het ontgrendelen van de noodstopvoorziening mag de machine niet vanzelf opnieuw starten. Ook deze voorwaarden horen in de beproeving thuis.
Koppel de vastgestelde eisen aan concrete bewijzen die de werking van de functie bevestigen: een relevante protocolregel, meetresultaat, analyse en de juiste versie van schema en software. Een bijlage met de naam “veiligheidstest” is onvoldoende wanneer niet duidelijk is wat is getest en op grond van welk criterium het resultaat positief werd genoemd.
Plan tests zonder mensen bloot te stellen. Je bootst geen meesleuring met een mens na om een bevrijdingsconcept te beoordelen. Gebruik passende en veilige analyses, simulaties en testmethoden. Niet controleren is geen positief resultaat, ook niet wanneer het formulier maar één aankruisvak heeft.
Na bevestiging van de noodreactie blijft bovendien de preventieve bescherming als afzonderlijke vraag bestaan. Een correct uitgevoerde E-STOP vervult niet de eis waarvoor een ontbrekende afscherming of een anders ontworpen toegang nodig was.
Als het protocol nergens vraagt wat er met het gevaar gebeurde, hoort een positief testresultaat niemand bijzonder gerust te stellen.
Een hoog PL kan een betrouwbare uitvoering van de verkeerde reactie aantonen. Betrouwbaar verkeerd blijft verkeerd.
7. Beveiliging is geen belofte dat er in geval van nood ergens een knop zit
Een preventieve veiligheidsfunctie moet een bepaald gevaarlijk voorval voorkomen. De noodstopfunctie moet passende interventie mogelijk maken wanneer een noodsituatie bestaat of dreigt. Beide vragen om ontwerp en controle. De ene voert de taak van de andere niet uit omdat beide uiteindelijk een aandrijving kunnen stoppen.
Een ontwerp wordt niet compleet door een noodstopknop toe te voegen terwijl bescherming tegen een voorzienbaar gevaar ontbreekt. Instructie van de operator, een hoog PL en een geslaagde stilstandstest vullen die leemte niet op.
Ook de noodinterventie vraagt meer dan kiezen welke uitgangen afvallen. Bepaal de juiste stopwijze, behoud noodzakelijke bescherming en voorzie de handelingen waarmee de situatie beheerst kan worden. Dat is ontwerpwerk. De mens bij de machine hoort het niet tijdens het gevaar te hoeven afmaken.
Het gaat niet om het kleineren van de E-STOP. Het gaat erom deze functie geen bescherming toe te schrijven die zij niet biedt, en haar niet de mogelijkheden te ontnemen die voor een doeltreffende interventie nodig zijn.
De noodstopfunctie moet helpen een gevaarlijke situatie te beheersen. Zij mag het ontbreken van bescherming tegen het ontstaan daarvan niet rechtvaardigen.
Kunnen we na de volledige beoordeling alleen zeggen “de machine stopte”, dan hebben we de stop gecontroleerd. Voor de veiligheid van de mens kan nog behoorlijk wat werk over zijn.
Bronnen en noten
De analyse van de noodstopfunctie is gebaseerd op ISO 13850:2015. De verwijzingen hieronder wijzen de specifieke bepalingen aan die in dit artikel zijn gebruikt. De normlinks leiden naar de Engelstalige informatiepagina’s van de uitgever, niet naar vrij beschikbare kopieën van de volledige normen. De gekoppelde artikelen geven aanvullende uitleg, maar vervangen de normatieve bronnen niet.
[1] Doel van de functie en aanvullende rol. ISO 13850:2015, 3.1, 3.5, 3.8 en 4.1.1.1 tot en met 4.1.1.3: het doel van de noodstop, menselijke initiatie, de begrippen veiligheidsfunctie en noodsituatie en het verbod om andere bescherming te vervangen. Het onderscheid in dit artikel betreft de preventieve taak van een functie tegenover noodinterventie; het sluit de noodstop niet uit van veiligheidsgerelateerde functies.
[2] Lichtscherm en stoppen vóór gevaarlijk contact. ISO 12100:2010, 6.3.2.5.1 en 6.3.2.5.2: voorwaarden voor drukloos werkende beschermingsvoorzieningen, stopbaarheid, positionering van het detectieveld en koppeling met de besturing. Voor de positionering verwijst de norm naar ISO 13855. Het voorbeeld in dit artikel is geen afstandsberekening en geen kant-en-klare selectie van een lichtscherm.
[3] Mogelijkheid tot menselijke interventie en grenzen van instructies. ISO 12100:2010, 5.5.2.3.3 en 6.1: factoren die de mogelijkheid tot vermijden of beperken van schade beïnvloeden en het verbod om passende beschermingsmaatregelen door informatie voor de gebruiker te vervangen. ISO/TR 14121-2:2012, 8.4, noemt de noodstop als voorbeeld van een maatregel die vooral de mogelijkheid tot vermijden of beperken van schade beïnvloedt. Dit is geen basis om automatisch een waarde in een risicograaf te verlagen. Voor bereikbaarheid van voorzieningen: ISO 13850:2015, 4.3.1 en 4.3.2.
[4] Aanvullende beschermende handelingen en bevrijding. ISO 13850:2015, toepassingsgebied en 4.1.1.2 en 4.1.1.5: behoud van andere beschermingsfuncties en de mogelijkheid om andere handelingen dan stoppen te initiëren. De gedetailleerde eisen voor zulke handelingen vallen niet volledig binnen ISO 13850. ISO 12100:2010, 6.3.5.2 en 6.3.5.3, maakt onderscheid tussen noodstop en voorzieningen voor bevrijding en redding van ingesloten personen.
[5] Behoud van overige bescherming en stopcategorieën. ISO 13850:2015, 4.1.1.2, 4.1.1.4 tot en met 4.1.1.5 en 4.1.3. De norm noemt onder meer bevrijding, brandbestrijding en de mogelijke noodzaak om elektromagnetische houders of remmen actief te houden. De beschrijving van stopcategorie 0 en 1 betekent niet dat alle apparatuur van iedere energiebron moet worden geïsoleerd.
[6] Eén handeling, volgorde en werkingsgebieden. ISO 13850:2015, 4.1.1.1, 4.1.1.5 tot en met 4.1.1.6 en 4.1.2 tot en met 4.1.2.1: een juiste reactie zonder verdere interventie voor het stoppen, een vooraf bepaalde volgorde, ontwerp van de gevolgen van bediening en voorwaarden voor verdeling in werkingsgebieden. De analyse van de samenwerking tussen leveranciers is een praktische uitwerking van deze eisen.
[7] PL/SIL, handhaving van de stop en reset. ISO 13850:2015, 4.1.5.1: toepasselijke eisen uit ISO 13849-1 en/of IEC 62061, minimaal PLr c of SIL 1 en toegestaan gedeeld gebruik van componenten. De bepalingen 4.1.1.2 en 4.1.4 behandelen beschikbaarheid, handhaving van de stop en reset zonder automatische herstart. Voor een concrete toepassing moeten ook toepasselijke specifieke eisen en eventuele normen van type C worden meegenomen.
[8] Functie-eisen en validatie. ISO 13849-1:2023, hoofdstuk 8 en 10.1.1, 10.2 en 10.4.1: verificatie van het bereikte PL, validatie door analyse en beproeving, controle van volledigheid en samenhang van de specificatie en voorafgaande vaststelling van testplannen en verwachte resultaten. De tabel in dit artikel is een eigen ordeningsvoorstel, geen volledig validatieplan voor elk systeem.
[9] Context van EU-wetgeving. Richtlijn 2006/42/EG — Engelstalige tekst in EUR-Lex, bijlage I, 1.2.4.3 en 1.2.4.4, en Verordening (EU) 2023/1230 — Engelstalige tekst in EUR-Lex, bijlage III, 1.2.4.3 en 1.2.4.4: de aanvullende rol van de noodstop, het voorkomen van extra risico, beschermende bewegingen en het stoppen van gekoppelde apparatuur waarvan voortgezette werking gevaarlijk kan zijn. Verordening (EU) 2023/1230 is in hoofdzaak van toepassing vanaf 20 januari 2027; de overgangsbepalingen en toepassingsdatum zijn vastgelegd in de artikelen 52 en 54. Het noemen van een norm is geen uitspraak dat die norm onder een specifieke rechtshandeling is geharmoniseerd.
Aard van de voorbeelden en toepassingsgrenzen. De beschreven werkplekken, voedingssystemen, documentteksten en uitspraken zijn modelvoorbeelden. Ze beschrijven geen vastgesteld ongeval en vormen geen reddingsinstructie voor een concrete machine. Openen, aandrukkracht wegnemen en omkeren vereisen een passend ontwerp en beoordeling van de gevolgen. Dit artikel bespreekt de rol en logica van de noodstopfunctie, niet alle eisen en uitzonderingen van ISO 13850. De controlevragen en conclusies over foutieve ontwerpuitgangspunten zijn technische uitwerkingen van de genoemde bronnen.