EN 60204-1 elektrische fouten: wanneer de fout fabrieksnorm wordt

“Op die tweede lijn moet je de temperatuur anders instellen.” Twee identieke lijnen maken hetzelfde product, maar vragen verschillende instellingen. De ervaren operator weet wat hij moet corrigeren. Een nieuwe collega moet het eerst leren. Vraagt die waarom gelijke machines zich anders gedragen, dan volgt het bekende antwoord: je moet elke machine een beetje leren kennen.

Zo verandert een verstoorde meting ongemerkt van een storing die moet worden verholpen in praktische kennis die van ploeg op ploeg wordt doorgegeven. De technoloog corrigeert de parameters, de operator bewaakt het resultaat en de productie concludeert dat ermee te werken valt. De installatie blijft zoals hij is. Alleen de eisen aan de mensen gaan omhoog.

Wie zoekt naar EN 60204-1 elektrische fouten, verwacht misschien verbrande componenten, uitgevallen beveiligingen of een kast vol zichtbaar slecht werk. De duurste fouten zijn vaak veel stiller. Door verkeerd gelegde kabels betaalt een bedrijf elke dag voor extra regeling, controle en procescorrecties. Die kosten verdwijnen in arbeidsuren en lijken daardoor al snel op normale productiekosten.

Een elektrische fout kan bovendien het gebruik van de hele machine veranderen. Dwingt die fout mensen vaker een gevarenzone in, dan veranderen ook de uitgangspunten van de risicobeoordeling. Een afstelling die eens per maand was voorzien maar elk uur nodig blijkt, blijft in de documentatie misschien “afstelling” heten. Voor de blootstelling is het een compleet andere situatie.

Andere werkplaatswaarheden maken dezelfde carrière. Rood moet elke stilstand aangeven, omdat de leiding direct wil zien waar niet wordt geproduceerd. Bij frequentieregelaars gebruiken we geen aardlekschakelaar, want dat gaf vroeger problemen. Naar TT/TN/IT vraagt niemand zolang de spanning klopt en de beschermingsleiding (PE) is aangesloten. Elk antwoord maakt een lastig gesprek korter. Na verloop van tijd geldt vragen naar de technische onderbouwing zelfs als gebrek aan ervaring.

Ervaring is juist nodig om onderscheid te maken tussen een bewezen oplossing en een fout waarmee iedereen heeft leren leven. Het nummer van de norm in de documentatie beslist dat niet. Je moet de installatie bekijken, de beschermingsmaatregelen nalopen en vaststellen wat mensen werkelijk bij de machine doen. Vooral wat de machine volgens het ontwerp níét van hen zou vragen.

De lastigste storing om te verhelpen is de storing die inmiddels tot bedrijfsstandaard is gepromoveerd.

1. De technoloog regelt het proces dat door de installatie wordt ontregeld

De technoloog moet de tweede lijn stabiel krijgen. Hij krijgt temperatuurwaarden, productieresultaten en de mogelijkheid om parameters te wijzigen. Op basis daarvan kiest hij instellingen die een goed product opleveren. Moeten die instellingen worden gecorrigeerd, dan corrigeert hij ze.

De werkelijke oorzaak ligt echter in de route van de meetkabels. De kabels van het thermokoppel lopen naast motorkabels van servoaandrijvingen. Elektromagnetische storing komt in het meetcircuit terecht en verschijnt op het bedieningspaneel als temperatuur. Hetzelfde materiaal vraagt dus niet om andere instellingen omdat iemand een nieuwe materiaaleigenschap heeft ontdekt. De installatie van één lijn is gewoon slechter uitgevoerd.

De afdeling technologie kreeg een probleem dat de elektromonteur niet op het schema heeft achtergelaten. Het probleem bleef in de kabelgoot liggen.

De regelaar krijgt een verkeerde meting en reageert daar keurig op

Een thermokoppel levert een kleine spanning die wordt omgerekend naar temperatuur, rekening houdend met de sensorkarakteristiek en de temperatuur van de koude las. Verstoort een elektromagnetische storing die spanning, dan werkt de regelaar met verkeerde informatie. Hij kan het verwarmingsvermogen volledig volgens zijn algoritme verhogen of verlagen, terwijl de werkelijke temperatuur daar geen aanleiding toe geeft.

De meetfout grijpt daarmee rechtstreeks in op het proces. De operator ziet het resultaat en probeert de instellingen te compenseren. Er ontstaat een extra handmatige regelkring die niemand bij de aanschaf van de automatische lijn had begroot. De automatisering regelt op de verkeerde meting. De technoloog corrigeert de automatisering. In de onderdelenlijst staan die regelkringen afzonderlijk: de eerste als PLC, de tweede als arbeidsplaats.

Een geloofwaardig getal op een scherm bewijst weinig. Een verstoorde waarde kan keurig binnen het meetbereik blijven. Er hoeft geen melding van een onderbroken thermokoppel te komen. Ook gelijke schema’s sluiten een verschil tussen twee lijnen niet uit. Het schema toont verbindingen. De werkelijke afstand tussen kabels, de uitvoering van de afscherming en de beschermende vereffening moet je aan de machine controleren.

“Maar de norm staat gezamenlijke aanleg toch toe?”

Ja. Onder voorwaarden. EN 60204-1, punt 13.1.3, staat toe dat geleiders van verschillende circuits naast elkaar, in hetzelfde kanaal en in bepaalde gezamenlijke samenstellingen worden aangebracht. De voorwaarde is dat die aanleg de goede werking van geen van de betrokken circuits verstoort. Daarnaast gelden eisen aan scheiding of isolatie bij verschillende spanningen.

“De isolatie is geschikt voor de spanning” beantwoordt dus maar een deel van de vraag. Kabels hoeven geen kortsluiting te maken om verkeerd te zijn aangelegd. Het is genoeg wanneer het ene circuit de informatie van het andere circuit aantast.

De EMC-eisen gaan zowel over emissie als over immuniteit in de voorziene bedrijfsomgeving. De informatieve bijlage H werkt praktische maatregelen uit: voedings- en signaalkabels scheiden, afscherming correct uitvoeren, een geschikte vereffening aanbrengen en kabels gebruiken volgens de voorschriften van de fabrikant. Een afgeschermde kabel kopen is niet hetzelfde als EMC beheersen. Je moet hem ook goed leggen en correct aansluiten.

Controleer eerst of de temperatuur werkelijk veranderde

Voordat de receptuur opnieuw wordt aangepast, moet één ogenschijnlijke zekerheid ter discussie: is de weergegeven temperatuur betrouwbaar? Vergelijk de uitlezing met een onafhankelijke referentiemeting en houd rekening met de meetplaats en reactietijd van beide sensoren. Registreer tegelijk de werking van de aandrijvingen.

Zoek naar een verband tussen de aandrijfactiviteit en de afwijking van de meting, niet simpelweg tussen aandrijfactiviteit en temperatuur. Machinebeweging kan het proces immers werkelijk beïnvloeden. Controleer ook de ingangconfiguratie en de hele meetketen.

Beoordeel vervolgens in een gecontroleerde proef wat er gebeurt na wijziging van de kabelroute, afscherming of vereffening. Verander niet tegelijkertijd de receptuur, want dan zijn de effecten niet meer uit elkaar te houden. Blijkt elektromagnetische storing de oorzaak, dan bewijst een aparte instelling voor lijn twee niet dat het proces goed is ontwikkeld. De instelling bewijst alleen dat iemand een manier heeft gevonden om ondanks de meetfout te produceren.

De storing kreeg een eigen procesinstelling. Vanaf dat moment kon hij samen met de receptuur worden gereproduceerd.

2. Eens per maand in de risicobeoordeling, elk uur in de productie

“De afstelling is meegenomen in de risicobeoordeling.” Dat klopt. Eens per maand. In werkelijkheid voert de operator haar elk uur uit, omdat het proces anders buiten zijn parameters loopt. De activiteit heeft dezelfde naam, dus op papier lijkt alles nog te kloppen.

Stel dat de ingreep toegang achter een afscherming vereist, dicht bij hete procesdelen. Dan betekent extra bediening ook extra blootstelling. De machine hoeft niet eens te kunnen bewegen terwijl de afscherming openstaat. Hij was ontworpen voor een incidentele afstelling, maar vraagt nu om voortdurend reddingswerk. De risicobeoordeling rekent nog steeds met de privileges van het oorspronkelijke scenario.

“Het is maar een processensor”

Dat argument moet de meetfout losmaken van de veiligheid. De sensor voert geen veiligheidsfunctie uit, het veiligheidsrelais werkt en het openen van de afscherming stopt de aandrijvingen. De storing zou daarom alleen de productkwaliteit raken.

Maar juist de verkeerde meting brengt de operator vaker naar de machine. Een gewone processensor hoeft geen beveiliging aan te sturen om de omstandigheden te veranderen waarop die beveiliging is geselecteerd. ISO 12100 koppelt de betrouwbaarheid van uitrusting aan het beperken van interventies en blootstelling aan gevaren. Die koppeling geldt ook voor functies die geen veiligheidsfunctie zijn.

De administratieve verdeling tussen “veiligheid” en “proces” ontslaat niemand van de plicht om de gevolgen te volgen. De elektromonteur leverde een verstoorde meetketen. De technoloog vond bruikbare instellingen. De operator kreeg extra handelingen. Elke afdeling behandelde haar eigen deel. Alleen de blootstellingsfrequentie heeft geen eigen afdeling en blijft daardoor gemakkelijk zonder eigenaar.

Was voldoende risicoreductie onderbouwd met sporadische toegang, dan blijft die onderbouwing niet vanzelf geldig bij een interventie per uur. Dit vraagt niet alleen om een nieuwe datum op het document. De informatie waarop de conclusie rustte, is veranderd.

Je berekent dit niet met een simpele vermenigvuldigingsfactor. Een hogere interventiefrequentie leidt niet automatisch tot een vooraf bepaalde verhoging van de risicoscore. Je moet vaststellen wat de persoon doet, aan welke gevaren hij wordt blootgesteld, hoe lang dat duurt en welke bescherming beschikbaar is. De oude frequentie laten staan betekent daarentegen bewust andere omstandigheden beoordelen dan op de werkvloer bestaan.

De afscherming voor onderhoud bedient nu de productie

Stel dat een vaste afscherming gerechtvaardigd was omdat toegang zelden nodig zou zijn. Bij een maandelijkse taak pasten demonteren, werken en opnieuw bevestigen binnen de onderhoudsorganisatie. Nu moet dezelfde handeling de hele ploeg door worden herhaald. Uiteindelijk laat iemand de afscherming los of helemaal weg.

Het bedrijf ontdekt vervolgens een nieuw probleem: onjuist gedrag van medewerkers. De kabelgoot blijft onaangeroerd. De operator krijgt nog een instructie.

Dat rechtvaardigt werken zonder bescherming niet. Het laat wel zien waar de oorzaakanalyse is afgebroken. ISO 12100 wijst op het verband tussen een groeiende toegangsbehoefte en het niet terugplaatsen van vaste afschermingen. In zo’n situatie moeten andere passende beschermingsmaatregelen worden gekozen. Regelmatig losschroeven is geen puur opvoedkundig probleem.

Alleen een makkelijker te openen afscherming ontwerpen en de defecte meting laten bestaan, zou even onzinnig zijn. Verhelp eerst de oorzaak van overbodige interventies. Kies daarna bescherming voor de handelingen die werkelijk nodig blijven. Zolang de storing bestaat, moeten de risicobeoordeling en beschermingsmaatregelen de actuele werkwijze afdekken, niet de belofte van een latere reparatie.

Controleer na herstel daarom niet alleen of de meting stabiel is. Controleer ook of de voortdurende correcties werkelijk zijn verdwenen. Pas dan kun je bevestigen welke aannames over bediening opnieuw bij de machine passen.

Een risicobeoordeling voor een maandelijkse afstelling geeft geen alibi aan een machine die de operator er de hele ploeg mee bezighoudt.

3. Rood, omdat de leiding niet van stilstand houdt

“Als de machine stilstaat, moet de lamp rood zijn. Ik wil direct zien waar niet wordt geproduceerd.” De programmeur krijgt een duidelijke opdracht: koppel rood aan het ontbreken van automatische productie. De partij is klaar — rood. De machine wacht op materiaal — rood. Er is een gevaarlijke toestand — ook rood.

De signaalzuil toont feilloos de ontevredenheid van de leiding. De operator heeft er minder aan.

Eén kleur, tegenstrijdige opdrachten

Bij materiaalgebrek moet iemand naar de machine lopen en een voorziene bedieningshandeling uitvoeren. Bij een gevaarlijke toestand kan onmiddellijk beschermend handelen nodig zijn, of juist afstand houden. Als beide situaties identiek worden gesignaleerd, helpt de kleur niet langer om de juiste reactie te kiezen.

Dat is het probleem. Niet dat iemand een kleurentabel heeft beledigd.

EN 60204-1 beveelt aan signaleringen naar de toestand van de machine te coderen. In tabel 4 staat rood voor een noodtoestand die met gevaar samenhangt, geel voor een abnormale toestand en blauw voor een verplichte actie van de operator. Groen duidt een normale toestand aan en wit is bedoeld voor neutrale informatie.

“Produceert niet” is geen gevarencategorie. “Produceert” is evenmin een veiligheidsverklaring. Einde partij, verzoek om materiaal aan te vullen en waarschuwing voor een gevaar moeten van elkaar te onderscheiden zijn. Ze mogen niet allemaal verdwijnen in één PLC-voorwaarde: automatisch bedrijf uit.

“De operators weten wat rood betekent.” In dit voorbeeld weten ze vooral dat de kleur niets beslist. Ze moeten eerst uitzoeken of ze materiaal moeten aanvullen, product moeten afnemen of uit de buurt moeten blijven. Er is een opvallend signaal ontworpen en daarna is het onderscheidende karakter ervan weggenomen.

Productiestilstand mag zichtbaar zijn. Daarvoor hoeft niet de hele waarschuwingssignalering te worden gekaapt. Productie-informatie kan afzonderlijk worden weergegeven en duidelijk worden benoemd. Dat kost meer denkwerk dan één lamp aan één programmabit koppelen, maar het levert tenminste informatie op.

Een rode STOP naast een rode E-STOP

Op het bedieningspaneel ontstaat hetzelfde probleem in omgekeerde richting. De persoon ontvangt nu geen signaal, maar moet een bedieningselement kiezen. Naast elkaar zitten een gewone rode STOP en een rode E-STOP. De ontwerper kent de bedoeling, drukt tijdens de afname op de juiste knop en bevestigt de correcte reactie. Hij heeft bewezen dat hij zijn eigen indeling begrijpt. De proefomstandigheden konden moeilijk gunstiger zijn.

De norm laat rood toe voor een gewone STOP, maar adviseert die kleur niet te gebruiken vlak bij een bedieningselement voor een noodhandeling. Voor een gewone stop heeft zwart de voorkeur; grijs en wit zijn eveneens aanbevolen mogelijkheden. Een rood bedieningselement op een gele achtergrond is uitsluitend bestemd voor noodhandelingen.

Niet elke rode STOP is daarmee automatisch fout. De vraag is of de concrete indeling herkenning ondersteunt of dat een vermijdbare verwarring met “gewenning van de ploeg” wordt verdedigd. Kleur, vorm, achtergrond, opschrift en plaats werken samen.

Kan een gewone STOP eerst een processtap laten afronden, dan gebeurt precies dat wanneer iemand hem in plaats van de E-STOP indrukt. De PLC raadt niet dat de persoon eigenlijk de naastgelegen knop voor de noodstopfunctie bedoelde.

Controleer de betekenis, niet alleen of de lamp brandt

Loop bij de afname concrete toestanden door: einde partij, wachten op bediening, procesafwijking en gevaarlijke toestand. Stel voor elke toestand vast wat de operator ziet, hoe hij de prioriteit herkent en welke actie wordt verwacht. Controleer bij gelijktijdige toestanden of productie-informatie de waarschuwing niet maskeert.

Doe voor knoppen hetzelfde. Beoordeel herkenbaarheid en bereikbaarheid vanaf de bedieningsplaats en test daarna de werkelijke reactie van de machine. Een instructie volgens stap 3 van ISO 12100 moet een samenhangende bediening uitleggen. Zij is niet bedoeld om tegenstrijdigheden in een slecht ontwerp glad te strijken.

Een test van PLC-uitgangen bevestigt dat de juiste lamp oplicht. Hij bevestigt niet dat de lamp de juiste boodschap geeft. Productieprioriteiten zijn bespreekbaar. De betekenis van een gevarensignaal hoort niet mee te schuiven met de planning van de ploeg.

Een signaal dat alles belangrijk maakt, maakt uiteindelijk niets herkenbaar.

4. TT: er is aarding. Maar wat schakelt de voeding uit?

“PE aangesloten. Continuïteit gemeten. Beveiliging passend bij de belasting.” Dat klinkt compleet, totdat iemand vraagt in welk netstelsel de machine werkt en wat er na een isolatiefout gebeurt.

Neem een machine in een TT-stelsel waarbij bescherming bij een fout uitsluitend aan een overstroombeveiliging is toevertrouwd. De keuze is gekopieerd uit eerdere projecten. De uitschakelvoorwaarden op de nieuwe locatie zijn niet gecontroleerd, want de spanning klopt en er is toch aarding.

De leverancier kopieerde de beveiliging. De omstandigheden waarin zij moest werken, lieten zich niet meekopiëren.

Stroom verdwijnt niet in de aardelektrode

In een TN-stelsel heeft de foutstroom via beschermingsleidingen een metalen retourpad naar het geaarde punt van de bron. In een TT-stelsel zijn de aanraakbare geleidende delen onafhankelijk van de aarding van de bron geaard. Het foutstroomcircuit loopt daardoor ook via de grond en de aardelektroden van installatie en bron.

Na een isolatiefout stroomt de foutstroom van de fase naar de behuizing, via de beschermende verbinding en het aardingssysteem terug naar de bron. De waarde wordt bepaald door de impedantie van de hele lus, niet alleen door de weerstand tussen de behuizing en de PE-klem.

Een aardelektrode is geen afvoerput waarin stroom verdwijnt. Uitstekende continuïteit van beschermende verbindingen kan samengaan met een te kleine foutstroom om de overstroombeveiliging te laten aanspreken. Dat is geen tegenspraak. Eén verbinding is gecontroleerd; de doeltreffendheid van de bescherming is nog niet aangetoond.

Tien ampère overtuigt een beveiliging van 16 A niet

Neem een eenvoudig rekenvoorbeeld: spanning ten opzichte van aarde 230 V, impedantie van de volledige aardfoutlus 23 Ω en een overstroombeveiliging van 16 A. We nemen een defect met verwaarloosbare impedantie tussen fase en behuizing en laten de bedrijfsstroom buiten beschouwing.

De foutstroom bedraagt dan bij benadering:

I = U₀ / Zₛ = 230 V / 23 Ω = 10 A.

Dat is minder dan de nominale stroom van de beveiliging. Er is geen reden om te verwachten dat het apparaat wegens overstroom binnen de vereiste tijd uitschakelt. Op de behuizing kan ondertussen een gevaarlijke spanning ten opzichte van aarde blijven staan.

De beveiliging is niet defect. Tien ampère bij een nominale waarde van zestien ampère is voor haar geen overtuigend verzoek om in te grijpen. De ontwerper had dit eerder moeten vaststellen.

De voorwaarde in bijlage A.2 luidt Zₛ × Iₐ ≤ U₀. De cruciale waarde is Iₐ: de stroom die het beveiligingstoestel binnen de vereiste tijd laat aanspreken. Dat is niet automatisch de nominale stroom op de behuizing. Wie die waarden verwisselt, krijgt comfortabele berekeningen. Het apparaat schakelt alleen niet volgens die vergissing.

Een RCD is de hoofdoplossing; een uitzondering moet worden aangetoond

EN 60204-1 noemt de aardlekschakelaar (RCD; hierna RCD) samen met passende overstroombeveiliging als hoofdoplossing voor bescherming bij een fout in TT. Alleen een overstroombeveiliging is ook mogelijk, maar dan moet een voldoende lage foutlusimpedantie blijvend en betrouwbaar zijn gewaarborgd.

“De norm staat TT zonder RCD toe.” Dat klopt. De berekening hierboven toont precies waarom die mogelijkheid in dit voorbeeld niet bruikbaar is. Een uitzondering vinden verandert de installatieparameters niet.

Bij toepassing van een RCD wordt onder meer de voorwaarde Rₐ × IΔn ≤ 50 V gecontroleerd. Rₐ omvat de weerstand van de aardelektrode en de beschermingsleiding; IΔn is de nominale aanspreekverschilstroom. Daarnaast moet de vereiste uitschakeltijd worden gehaald. Voor het voorbeeld van een eindgroep van 16 A bij 230 V AC ten opzichte van aarde noemt tabel A.2 een tijd van 0,2 s. Alleen de ongelijkheid halen, bewijst die tijd niet.

Een gemonteerde RCD bewijst evenmin dat type, instelling en aansluiting correct zijn. Zoek bovendien niet uitsluitend in de machinekast. Een passend apparaat in de voedende installatie kan de bescherming verzorgen. Stel vast welk toestel het circuit beschermt en onder welke voorwaarden. De leveringsgrens is geen natuurkundige grens.

De machinefabrikant moet de aansluitvoorwaarden aangeven. Bijlage A.2 laat toe gegevens van de toekomstige installatie te gebruiken of toelaatbare parameters voor seriemachines vast te leggen. De maximale aardweerstand of foutlusimpedantie waarop het ontwerp rust, hoort in de installatie-instructies. “Aansluiten volgens goed vakmanschap” draagt die informatie niet over.

De behuizing kan voorbeeldig met PE zijn verbonden terwijl de bescherming nog steeds niet werkt. De groen-gele ader alleen beschermt niemand.

5. Een IT-stelsel zonder bewaking: de productie mag niet stoppen

“Dit is IT. Bij de eerste aardfout wordt niet uitgeschakeld.” Het voordeel is onthouden. Moeilijker wordt de vraag hoe de technische dienst ontdekt dat die eerste fout al is opgetreden.

Neem een installatie waarin bedrijfscontinuïteit is benut, maar geen bewaking aanwezig is om een isolatiefout te detecteren en te signaleren. De machine produceert, beveiligingen schakelen niet uit en er komen geen storingsmeldingen. Er is een stelsel gekozen waarin een fout zich niet door stilstand hoeft te verraden. Vervolgens is de detectie weggelaten. Dat verbetert de storingsstatistiek inderdaad spectaculair.

Wat is er eigenlijk geïsoleerd?

In een IT-stelsel zijn actieve delen van aarde geïsoleerd, of is een punt van de bron via een voldoende hoge impedantie met aarde verbonden. Dat betekent niet dat metalen behuizingen zonder beschermende verbinding en aarding mogen blijven.

Bij een eerste isolatiefout wordt de aardfoutstroom beperkt door eigenschappen van het stelsel, waaronder isolatie-impedantie, capaciteit ten opzichte van aarde en een eventuele impedantie aan de bron. Als aan de beschermingsvoorwaarden is voldaan, hoeft de voeding niet onmiddellijk te worden afgeschakeld. Zo kan de fout worden opgespoord en hersteld zonder het proces abrupt te onderbreken.

Dat maakt een beschadigde isolatie niet tot een nieuwe aanvaardbare toestand. Juist daarom is bewaking nodig. Een isolatiebewakingsapparaat (IMD) bewaakt de isolatieweerstand van het betrokken stelsel ten opzichte van aarde en signaleert wanneer die onder een ingestelde waarde daalt.

Een meting tijdens de oplevering vervangt die bedrijfsfunctie niet. Het meetrapport vertelt wat op de testdag is gemeten. Het draait geen nachtdienst.

Een stil alarm herstelt de isolatie niet

EN 60204-1, punt 6.3.3, verwijst voor IT naar IEC 60364-4-41. De norm verlangt ook dat akoestische en optische signalering tijdens een isolatiefout behouden blijft. Het geluid mag na activering handmatig worden uitgezet. Dat onderscheid is essentieel: ontvangst van de melding kan worden bevestigd, maar daarmee verdwijnt de oorzaak niet.

Stel dat een IMD aanwezig is, maar operators de melding routinematig wissen omdat de machine gewoon doorloopt. Het alarm keert terug en wordt uiteindelijk gezien als hinderlijk gedrag van het bewakingsapparaat. De isolatie verslechterde. Het apparaat dat dit correct vaststelde, kreeg de klacht.

Toont het scherm na bevestiging weer een gewone bedrijfstoestand terwijl het defect nog aanwezig is en geen andere blijvende optische signalering bestaat, dan is de informatie uit de bediening verwijderd, niet de fout uit de installatie. De volgende ploeg weet mogelijk van niets.

Het tweede defect hoeft niet in dezelfde machine te ontstaan

Een eerste defect kan L1 met de behuizing van één toestel verbinden. Een volgend defect kan L2 verbinden met de behuizing van een ander toestel dat door hetzelfde IT-stelsel wordt gevoed. Via de gezamenlijke beschermende verbindingen ontstaat dan een pad voor een fase-fasesluiting. De vereiste automatische uitschakeling moet zijn verzekerd.

De uitspraak “de eerste aardfout schakelt niet uit” beschrijft die tweede situatie niet. Isolatiebewaking en uitschakelbeveiliging hebben verschillende taken. Het IMD vervangt de beveiligingen voor automatische uitschakeling niet. Wachten op het tweede defect vervangt op zijn beurt de detectie en behandeling van het eerste niet.

Een bekend defect laten bestaan haalt het voordeel onderuit waarvoor IT is gekozen. In plaats van de waarschuwing te benutten om reparatie te organiseren, wacht het bedrijf totdat de volgende fout zelf een stopmoment kiest.

“De bewaking zit in de verdeelkast.” Prima. Waar komt het alarm terecht?

Het ontbreken van een IMD in de machinekast bewijst niet dat er geen bewaking is. Eén apparaat kan een groter voedingsstelsel bewaken. Bepaal wel het werkelijke bereik. Welke circuits vallen eronder? Wordt de machine in alle bedoelde voedingsconfiguraties meegenomen? Waar verschijnt het alarm en wie handelt het af?

Controleer tijdens de afname de instellingen en de volledige signaleringsketen volgens de instructies van de apparatuur. Bevestig dat de informatie aankomt waar iemand haar kan opmerken, zichtbaar blijft zolang het defect bestaat en tot een afgesproken actie leidt.

Een led in een gesloten verdeelkast kan bewijzen dat het apparaat werkt. Voor mensen die niet weten dat de led bestaat, is de praktische waarde beperkt. De leverancier ging ervan uit dat de gebruiker het alarm zou behandelen. De gebruiker dacht dat de leverancier alles had geregeld. De isolatie nam niet deel aan dat overleg.

Van het IT-stelsel werd het recht op doorproduceren gebruikt. De plicht om de fout op te merken werd blijkbaar als optie besteld.

6. “Bij frequentieregelaars plaatsen we geen RCD”

Een RCD schakelt uit wanneer de aandrijvingen worden ingeschakeld. Na enkele productiestops verwijdert iemand het apparaat. De machine loopt weer en de melding wordt gesloten. Uit één onverklaarde uitschakeling ontstaat een regel voor toekomstige projecten: bij frequentieregelaars plaatsen we geen RCD.

De conclusie geldt ineens voor alle frequentieregelaars. Waarom dat ene circuit uitschakelde, is nooit vastgesteld.

“Deze RCD is niet geschikt voor deze schakeling” kan volledig juist zijn. “Dus de schakeling heeft de bescherming niet meer nodig die de RCD moest leveren” is een heel andere conclusie.

Lekstroom wacht niet op een isolatiefout

Een werkend aandrijfsysteem kan ook zonder isolatiefout stromen naar aarde veroorzaken. Daarbij spelen de opbouw van de aandrijving, EMC-filters, de capaciteit van motorkabels en de schakelfrequentie een rol. Bij het inschakelen komen daar overgangsverschijnselen bij.

Een RCD reageert volgens zijn eigenschappen op verschilstroom. Hij ontvangt geen bericht van de PLC dat alleen een capaciteit wordt geladen en de productie vooral niet mag worden onderbroken. Uitschakeling kan daarom het gevolg zijn van een verkeerde combinatie van beveiliging en normaal werkende uitrusting. Ze kan ook op een echt defect wijzen.

Alleen de aanwezigheid van een frequentieregelaar op het schema beslist niet welk scenario geldt. Meet en beoordeel de stromen tijdens inschakeling en bedrijf, hun golfvorm en de circuitconfiguratie. Dezelfde aandrijving met een korte of lange motorkabel kan verschillende eisen stellen.

Ook meerdere aandrijvingen achter één RCD vragen om beoordeling van de totale verschilstroom. De afzonderlijke stromen verdwijnen niet omdat elke aandrijving op zichzelf aan een grenswaarde voldeed. Een gezamenlijke beveiliging werkt met de volledige aangesloten groep.

Dat is een ontwerpprobleem. Het apparaat verwijderen neemt zijn reactie weg, niet de oorzaak van de stroom.

Niet uitschakelen kan slechter nieuws zijn

Bij vermogenselektronische aandrijvingen moet ook de vorm van de foutstroom worden bekeken. Die kan een DC-component bevatten waarvoor de gekozen RCD niet geschikt is. Een voldoende grote DC-component kan het detectievermogen van een toestel van type AC of A aantasten.

Onder bepaalde omstandigheden wordt de RCD als het ware blind. Hij blijft ingeschakeld terwijl hij niet meer de verwachte reactie op de foutstroom levert. Dat scenario scoort uitstekend in de productiecijfers: de beveiliging stoort niet meer, omdat ze niet meer goed beschermt.

Het apparaat hoeft niet defect te zijn. Het hoeft alleen te worden gebruikt onder omstandigheden waarvoor het niet de vereiste eigenschappen heeft. EN 60204-1, punt 7.7, wijst erop dat een RCD van type B nodig kan zijn wanneer foutstromen met DC-componenten kunnen optreden. De uiteindelijke keuze moet worden afgestemd op de schakeling en de instructies van de fabrikant van de aandrijving.

“Een RCD voor frequentieregelaars” bestellen is onvoldoende. Het type beschrijft de reactie op bepaalde stroomvormen. Aanspreekverschilstroom, frequentiegedrag, uitschakeltijd en toepassingsvoorwaarden blijven afzonderlijke selectiepunten.

Kijk ook vóór de machinekast. Een DC-component die door een RCD van type B loopt maar onder diens aanspreekgrens blijft, kan een hoger in de installatie geplaatste RCD beïnvloeden. Een correct toestel bij de aandrijving bewijst niet dat de volledige beveiligingsketen klopt. Wie bij de eigen aansluitklemmen stopt met analyseren, kan het probleem in de verdeelkast van de klant achterlaten.

“Dan stel ik een hogere waarde in” vraagt ook om berekeningen

Een hogere nominale aanspreekverschilstroom of een vertraging kan ongewenste uitschakelingen verminderen. Toch moeten de voorwaarden van de beschermingsmaatregel waarvoor de RCD wordt gebruikt, geldig blijven.

In het eerder beschreven TT-stelsel beïnvloedt een hogere aanspreekwaarde de voorwaarde voor de aardweerstand. Een vertraging beïnvloedt de uitschakeltijd. Deze parameters mogen niet worden opgevoerd totdat de machine eindelijk blijft draaien.

Een instelling volgens de methode “hij schakelt nog uit, dus nog iets hoger” is afgestemd op het geduld van de productieleiding. De bescherming tegen elektrische schok vraagt een andere onderbouwing.

Een goede oplossing kan bestaan uit een ander type RCD, opsplitsing van circuits, vermindering van lekstromen met door de fabrikant toegestane middelen of een andere beschermingsopzet. Het losnemen van PE is geen beschermingsopzet. Een EMC-filter zonder onderbouwing verwijderen verplaatst het probleem mogelijk van ongewenste uitschakeling naar verstoorde metingen en besturingen.

Niet elke machine met een frequentieregelaar hoeft een RCD te hebben. Als bescherming bij een fout aantoonbaar op een andere manier wordt gerealiseerd, kan het ontbreken ervan gerechtvaardigd zijn. De onderbouwing is dan de bewezen werking van die bescherming, niet het woord “frequentieregelaar” op de onderdelenlijst.

Een verwijderde RCD veroorzaakt inderdaad geen productiestops meer. Dat is alleen geen geldig resultaat van een beproeving van de bescherming tegen elektrische schok.

7. Doorstond de machine de proef, of het team dat haar overeind hield?

Tijdens de afname corrigeert de technoloog een instelling, past de programmeur de configuratie aan en start de operator de cyclus opnieuw. Na enkele pogingen voldoet het product. In het rapport verschijnt een positief resultaat. Alle interventies gelden als normale ondersteuning bij de ingebruikname.

Niemand heeft vastgesteld welke interventies de oorzaak wegnamen en welke tijdens de productie herhaald moeten worden. De machine krijgt de prestatie toegeschreven die meerdere specialisten gezamenlijk bereikten. In de gebruiksinstructies staat straks één operator.

Correcties tijdens een proef zijn óók een resultaat

Inbedrijfstelling vraagt om afstelling. Het probleem is niet dat vóór de afname parameters worden gewijzigd. Het probleem ontstaat wanneer de machine wordt geaccepteerd zonder aan te tonen dat zij na die wijzigingen zelfstandig volgens de uitgangspunten werkt.

Zijn tijdens de eigenlijke proef nog onverwachte correcties nodig, leg die dan vast. Wat is gewijzigd? Waarom? Is daarna het volledige relevante proces opnieuw getest, of stopte de beoordeling bij het eerste goede product?

Het eerste goede exemplaar beëindigt een discussie vaak sneller dan het verhelpen van de oorzaak van de voorgaande afkeur. Zeker als het transport al is geboekt.

Bij een verstoorde meting gaat het niet alleen om productkwaliteit. Bevestig dat de meetwaarde onder de voorziene bedrijfscondities betrouwbaar blijft en dat extra interventies niet langer nodig zijn. Anders wordt een goed proefproduct geleverd met een defect proces dat dagelijks door de gebruiker moet worden gered.

Voorziene operatorhandelingen zijn geen fout in de automatisering. Geïmproviseerd herstelwerk mag echter niet uit de beoordeling verdwijnen omdat de operator het handig uitvoert. Let tijdens de afname dus ook op de mens. Niet om te beoordelen of hij de machine verdient, maar om vast te stellen wat de machine werkelijk van hem verlangt.

Het meetinstrument voert niet de rest van de afname uit

“De elektrische metingen zijn goed.” Prima. Welke eisen zijn daarmee gecontroleerd?

Hoofdstuk 18 van EN 60204-1 verwijst voor de verificatieomvang naar een toepasselijke productnorm. Ontbreekt die, dan omvat de verificatie onder meer overeenstemming met de documentatie, continuïteit van het beschermingscircuit, voorwaarden voor automatische uitschakeling wanneer daarmee bescherming bij een fout wordt gerealiseerd, en functionele beproevingen. Isolatieweerstandsmeting en spanningsproef staan daar afzonderlijk naast. Ze vervangen de overige controles niet.

Niet elk onderdeel heeft bovendien dezelfde toepassingsvoorwaarden. De vereiste verificatie volgt uit de uitrusting en de gekozen beschermingsmaatregelen. De draaiknop van het beschikbare meetinstrument is niet de inhoudsopgave van de norm.

Een goede continuïteitswaarde vertelt niet of de juiste beveiliging binnen de vereiste tijd uitschakelt. Hij bevestigt evenmin dat een isolatiealarm de operator bereikt of dat een temperatuurmeting betrouwbaar blijft terwijl aandrijvingen draaien.

Ook overeenstemming met het schema heeft grenzen. Wanneer de uitvoering een ontwerpfout nauwkeurig reproduceert, kan de vergelijking uitstekend uitvallen. Dan is vooral bewezen dat de fout zorgvuldig is gebouwd.

Controleer na een wijziging waarop eerdere resultaten nog betrekking hebben

Tijdens de inbedrijfstelling wordt een beveiligingsinstelling gewijzigd, een apparaat vervangen of een kabelroute aangepast. De documentatie en resultaten van controles moeten betrekking hebben op de uitvoering die aan de gebruiker wordt overgedragen.

De norm verlangt dat na wijzigingen wordt overwogen welke verificaties en beproevingen moeten worden herhaald. De omvang volgt uit de invloed van de wijziging. Alles gedachteloos opnieuw doen is niet nodig. Aannemen dat een oude meting automatisch ook de nieuwe configuratie afdekt, is evenmin aanvaardbaar.

De datum op het rapport kan kloppen terwijl het gemeten beveiligingstoestel inmiddels uit de kast is verdwenen.

Leg daarom de geteste configuratie, relevante instellingen, proefomstandigheden en beoordelingscriteria vast. Noteer afwijkingen en hoe die zijn afgesloten. Dan hoeft niemand later uit het geheugen van de aanwezigen te reconstrueren wat werkelijk is bewezen.

Een correctie die de oorzaak wegneemt, is een technisch resultaat. Een correctie die voortaan elk uur moet worden herhaald, is een nieuwe eis aan de operator. De afname moet dat onderscheid maken voordat beide verdwijnen onder de gezamenlijke formulering “machine afgesteld”.

Als mensen tijdens de proef voortdurend het gedrag van de machine corrigeerden, maakt hun bijdrage deel uit van het testresultaat. Je kunt die bijdrage niet bij de handtekening van het rapport aftrekken.

8. Bedrijfsgewoonte repareert geen ontwerp

Voor een slecht uitgevoerde installatie betaal je bij de aanschaf en daarna opnieuw: met operatortijd, inzet van technologen, extra onderhoud en productiestops. Na verloop van tijd gaat die rekening zo goed op in de productiekosten dat het verhelpen van de oorzaak als onnodige complicatie wordt gezien.

Voor verbetering van het ontwerp is één stop te duur. Voor het dagelijks corrigeren van de gevolgen blijkt steeds tijd beschikbaar.

De kennis van ervaren medewerkers moet in zo’n situatie terug naar de ontwerper. Zij weten wanneer een meting onbetrouwbaar wordt, welke ingrepen nodig zijn om te starten en welke taken voortdurend terugkeren terwijl ze incidenteel waren bedoeld. Hun vindingrijkheid levert waardevolle informatie over de machine. In de beschreven voorbeelden werd die vooral gebruikt om reparatie uit te stellen.

Toepassing van EN 60204-1 vraagt dat het ontwerp wordt geconfronteerd met de werkelijke uitrusting en bedrijfsomstandigheden. De werking van beschermingsmaatregelen, de geschiktheid van gekozen oplossingen en de overeenstemming tussen aannames en werkelijk gebruik moeten aantoonbaar zijn.

Een jarenlange gewoonte levert geen ontbrekende berekening en geen ontbrekend beproevingsresultaat. Vraag daarom bij het volgende “deze machine doet dat nu eenmaal” naar de oorzaak. Is het antwoord de naam van de enige operator die de productie ermee draaiende kan houden, dan heb je iets geleerd over diens vakmanschap. Het ontwerp wacht nog steeds op zijn verdediging.

Mensen kunnen leren omgaan met een gebrek van de machine. Daardoor wordt dat gebrek nog geen technologische eis.

Bronnen en noten

De in dit artikel aangehaalde punten uit EN 60204-1 zijn gebaseerd op de specifieke Poolse uitgave PN-EN 60204-1:2018-12, die EN 60204-1:2018 invoert. De Europese versie neemt IEC 60204-1:2016 met wijzigingen over. Die aanduidingen betekenen niet dat alle bepalingen woordelijk identiek zijn. Externe koppelingen leiden naar catalogus- en informatiepagina’s van ISO, IEC en de Europese Commissie; zij vervangen de volledige normteksten niet.

[1] Elektrische uitrusting als onderdeel van machineveiligheid. PN-EN 60204-1:2018-12, punten 4.1, 4.2.1 en 4.4.1: samenhang met de risicobeoordeling, gevolgen van onjuist functioneren en eisen aan selectie en toepassingsomstandigheden. Gegevens van de internationale basispublicatie: IEC 60204-1:2016 — IEC-catalogus.

[2] Kabelroutes, EMC en thermokoppelmetingen. PN-EN 60204-1:2018-12, punten 4.4.2 en 13.1.3 en informatieve bijlage H, punten H.2–H.4. Voor thermokoppelkarakteristieken: IEC 60584-1:2013 — Thermokoppels — Deel 1: specificaties en toleranties voor elektromotorische spanning. De diagnostische aanpak in dit artikel is een technische uitwerking, geen verslag van metingen aan twee concrete lijnen.

[3] Frequentere interventies, betrouwbaarheid en keuze van bescherming. ISO 12100:2010, punten 5.5.2.3.1, 5.5.3.2, 6.2.13 en 6.3.2.1. Een gewijzigde toegangsfrequentie maakt niet automatisch de hele risicobeoordeling ongeldig en schrijft ook geen automatische verhoging van een prestatieniveau voor. Zij vraagt wel om herbeoordeling van de aannames waarop de conclusie rust.

[4] Kleuren en betekenis van de bediening. PN-EN 60204-1:2018-12, punten 10.2.1, 10.3.1–10.3.3 en tabel 4. De kleurcodering en het vermijden van een gewone rode STOP naast een noodbediening hebben in deze uitgave de status van aanbevelingen. Een gewone rode STOP is toegestaan; rood op een gele achtergrond is voor noodhandelingen gereserveerd.

[5] Bescherming in TT en het rekenvoorbeeld. PN-EN 60204-1:2018-12, punt 6.3.3, bijlage A, punten A.2.1–A.2.3, tabel A.2 en punt 17.2. De waarden 230 V, 23 Ω en 16 A zijn modelwaarden. De tijd van 0,2 s geldt voor het beschreven eindcircuit en is geen universele uitschakeltijd voor alle TT-circuits. Aanvullende installatiebasis: IEC 60364-4-41:2005+AMD1:2017 — Bescherming tegen elektrische schok.

[6] Isolatiebewaking in IT. PN-EN 60204-1:2018-12, punt 6.3.3, met verwijzing naar IEC 60364-4-41. Eisen voor apparaten die voortdurend de isolatieweerstand ten opzichte van aarde bewaken staan in IEC 61557-8:2014 — Isolatiebewakingsapparaten voor IT-stelsels. De scenario’s met een eerste en volgende fout verduidelijken de werking, maar vervangen geen volledige installatieberekening.

[7] RCD’s bij frequentieregelaars. PN-EN 60204-1:2018-12, punten 4.2.1, 6.3.3, 7.7 en 18.2.1. Aanvullende normalisatie: IEC 62423:2009 — eisen en beproevingen voor RCD’s van type F en B en IEC 60364-5-53:2019+AMD1:2020+AMD2:2024 — keuze en installatie van beschermings-, scheidings-, schakel-, besturings- en bewakingsapparatuur. De technische uitleg is geen complete selectiegids voor ieder aandrijfsysteem.

[8] Verificatie en wijzigingen tijdens de inbedrijfstelling. PN-EN 60204-1:2018-12, punten 17.2, 18.1, 18.2.1–18.2.3, 18.6 en 18.7. Deze bepalingen behandelen de verificatieomvang, afzonderlijke beproevingen, documentatie van resultaten, functionele proeven en de noodzaak om na wijzigingen herbeproeving te overwegen.

[9] Basisuitgave, latere wijziging en harmonisatie. IEC publiceerde IEC 60204-1:2016/AMD1:2021. De punten in dit artikel zijn gecontroleerd aan de hand van PN-EN 60204-1:2018-12; dit artikel is geen overzicht van latere IEC-wijzigingen of Europese overnames daarvan. Voor een concreet project moeten de toepasselijke uitgave, wijzigingen, eventuele type-C-norm en installatie-eisen afzonderlijk worden vastgesteld. Officiële informatie over harmonisatie publiceert de Europese Commissie — machines en geharmoniseerde normen.

[10] Aard van de voorbeelden. De werksituaties, toegangsvarianten, rekenwaarden en tabellen leggen technische verbanden uit. Zij zijn geen meetrapporten van concrete installaties en vormen geen volledige afnameprocedure. De diagnostiek in deel 1 is een praktische methode om eerst vast te stellen waardoor de meting verandert. De tabel in deel 7 is geen volledige verificatielijst; zij helpt situaties herkennen waarin een waar feit over de machine wordt gebruikt om een veel bredere, onbewezen conclusie te verdedigen.