SRS volgens ISO 13849-1. De besturing is klaar. Maar de operator?

De operator opent de afscherming van het bewerkingscentrum. Hij schuift het werkstuk in de werkstukhouder en houdt het met zijn hand vast om het vóór het opspannen te positioneren. Hij probeert de klemming te activeren. De machine weigert: de open afscherming blokkeert de beweging.

Precies zo is de machine ontworpen. Maar de productie moet op de een of andere manier worden gestart.

Stel dat we deze werkplek tijdens de acceptatie bekijken. In de schakelkast bevinden zich beproefde componenten en op de tafel ligt een rapport met de berekeningen van het prestatieniveau (PL). De ontwerper beschikt over het schema, de sensorgegevens en de bibliotheek van de fabrikant. De operator heeft het werkstuk in zijn hand. Zijn taak is niet even nauwkeurig afgestemd.

Het systeem voert de toegewezen functie correct uit. Alleen is vóór de keuze van die functie niet gevraagd hoe de medewerker het werkstuk moet opspannen. De SRS — de specificatie van veiligheidseisen — moet helpen deze leemte te dichten, voordat een onbeschreven aanname wordt besteld, gemonteerd en geprogrammeerd.

ISO 13849-1:2023 vereist de resultaten van een risicobeoordeling volgens ISO 12100. Daaruit leiden we de veiligheidsfuncties, het vereiste gedrag en het vereiste prestatieniveau (PLr) af. We leggen deze vast in de SRS, die deel uitmaakt van de technische documentatie en de basis vormt voor het verdere ontwerp.

Daarna volgen de selectie, berekeningen, verificatie en validatie. Voordat we daarmee beginnen, is het verstandig om vast te stellen waar de hand van de operator zich tijdens het klemmen bevindt. Dat staat niet in de catalogus van de controller.

Hoe kan het werkstuk veilig worden opgespannen als het systeem al gereed is?

Laten we enkele weken teruggaan. Het project komt in een stroomversnelling omdat iemand een beproefde set uit een vorige machine voorstelt: een sensor voor de afscherming, een controller en een geschikte aandrijving. De gegevens zijn beschikbaar, de bibliotheek is gereed en de leverancier kent de deadline.

De vraag over het handmatig positioneren van het werkstuk wordt uitgesteld tot de inbedrijfstelling. Dan zal immers alles zichtbaar zijn.

En inderdaad: nu ziet iedereen het probleem. De operator heeft beweging nodig terwijl de afscherming open is, maar het systeem moet die beweging stoppen. Er wordt voorgesteld een uitzondering aan het programma toe te voegen. De aangeschafte apparaten beginnen de eisen aan de beveiliging te bepalen, terwijl ze juist bedoeld zijn om die eisen uit te voeren.

Laten we het gesprek bij de werkstukhouder houden. Waarom moet de operator het werkstuk ondersteunen? Zou de opspanvoorziening het werkstuk vooraf kunnen positioneren? Welke beweging is noodzakelijk en welke verdwijnt na een wijziging van de opspanmethode?

Het beveiligingsconcept hangt af van deze antwoorden. Misschien wordt de werkstukhouder gewijzigd. Misschien blijft beweging terwijl toegang mogelijk is noodzakelijk — dan moeten de voorwaarden voor het toestaan, beperken en stoppen van die beweging worden vastgelegd. Alleen een uitzondering in de logica bepaalt niet of deze handeling veilig is.

Dezelfde controller, een andere taak

Bij de vorige machine kan het beladen anders zijn verlopen. Stel dat de opspanvoorziening daar het geplaatste werkstuk vasthield en de operator de deuren vóór het opspannen sloot. Hier blijft zijn hand langer binnen.

Het typenummer van de controller komt overeen. De gebruiksvoorwaarden niet noodzakelijk. Voordat we het oude ontwerp hergebruiken, controleren we de toegang, de volgorde van de handelingen, de vereiste bewegingen en het gedrag van de last. Het antwoord „bij de vorige machine werkte het” beschrijft nog steeds de vorige machine.

Dergelijke bevindingen kunnen de tekeningen, de apparaatselectie en het programma wijzigen. Ze zijn veel moeilijker te verwerken wanneer de schakelkast gereed is en in de planning alleen nog het veld „acceptatie” openstaat. Dan staat de hand van de operator ook de afronding van het project in de weg.

Het herhalen van de circuitberekeningen beslecht het geschil bij de werkstukhouder niet. Het bereikte PL geldt voor de uitgevoerde functie en de omstandigheden waaronder deze is beoordeeld. Als we het stoppen na het openen van de afscherming hebben beoordeeld, voegt het resultaat geen eisen voor handmatig opspannen toe.

Er kunnen twee kanalen zijn zonder ook maar één eis voor de handeling die de operator op dat moment uitvoert.

Gecertificeerde apparaten en eerder gevalideerde subsystemen zijn nuttig. ISO 13849-1 voorziet in het gebruik ervan wanneer aan de integratievoorwaarden is voldaan. Toch moeten we nog steeds de eigenschappen van de volledige functie aantonen in de concrete toepassing, met de bijbehorende werkstukhouder, last en toegang.

De fabrikant van de controller kent onze methode voor het positioneren van werkstukken niet. Zijn certificaat heeft die methode dan ook niet kunnen beoordelen.

Voor de besturingstechnicus is dit een belangrijke verantwoordelijkheidsgrens. Hij kan de apparaten correct aansluiten, de logica schrijven en het PL onderbouwen, maar toch een onvolledige opdracht krijgen. Hij heeft de resultaten van de risicobeoordeling nodig voordat hij de aannames in het programma vastlegt.

Als deze ontbreken, gaan we terug naar het ontwerpteam. We bepalen de beveiliging voor deze specifieke werkzaamheden: wie de beslissing over de werkstukhouder neemt, wie de vereiste bewegingen vastlegt en wie de toegangsvoorwaarden beschrijft. Alleen een afgestemde eis mag worden geprogrammeerd.

Laten we daarom de catalogus terzijde leggen en samen met de operator de volledige handeling doorlopen. Vooral het begin ervan, dat vóór het sluiten van de afscherming plaatsvindt. Pas dan is duidelijk wat we eisen van het veiligheidsgerelateerde deel van het besturingssysteem (SRP/CS).

Twee kanalen lossen geen taak op die niemand heeft onderkend.

Componentgegevens en de PL-beoordeling onderbouwen de eigenschappen van de ontworpen functie. Eerst moet worden vastgesteld welke beveiliging de medewerker tijdens het werkelijke werk nodig heeft.

De operator komt al vóór het sluiten van de afscherming in het ontwerp voor

De operator brengt het werkstuk aan, legt het neer, corrigeert de positie en spant het op. Pas daarna sluit hij de afscherming en start hij de bewerking. Aan het einde opent hij de deuren opnieuw en neemt hij het werkstuk uit.

Als de beschrijving van het werk bij de START-knop begon, ontbreekt daarin precies de handeling zonder welke het geen zin heeft om op die knop te drukken.

Daar komen een verkeerd aangevoerd werkstuk, het vervangen van gereedschap, reiniging en hervatting na een onderbreking nog bij. Bij elke interventie kan de medewerker zich op een andere plaats bevinden, dichter bij andere bewegingen en energiebronnen.

De vermelding „bediening volgens de instructies” maakt deze werkzaamheden niet zichtbaar voor de ontwerper. Ze bepaalt evenmin wat dan mag worden gestart en wat onbeweeglijk moet blijven.

ISO 12100 schrijft voor om te beginnen met het vaststellen van de grenzen van de machine en het gebruik ervan. We stellen de gebruikers, bedrijfsmodi, materialen en interventies vast. We houden rekening met de levensfasen van de machine en met redelijkerwijs voorzienbaar verkeerd gebruik.

Pas op die basis identificeren we de gevaren en schatten we de risico's in. Vervolgens voeren we de risico-evaluatie uit: we bepalen of risicoreductie nodig is. Daardoor is „een blokkering verhelpen” niet langer één handige regel. Het blijkt te gaan om benadering vanaf de andere kant en een gecontroleerde beweging van het mechanisme.

Een gesprek bij de werkplek maakt dit snel duidelijk. Als de bescherming een noodzakelijke taak onmogelijk maakt, kan zij ook aanzetten tot het omzeilen van beveiligingen. De oplossing moet worden verbeterd voordat omzeiling in de productiehal de gebruikelijke werkwijze wordt.

Misschien kan de spaninrichting het beste worden gewijzigd

De eerste beslissing over onze klem hoeft helemaal niet over de besturing te gaan. Een opspanmiddel dat het werkstuk positioneert zonder dat de hand zich in het klembereik bevindt, verandert de blootstelling van de persoon zelf.

ISO 12100 begint de risicovermindering juist met zulke inherent veilige ontwerpmaatregelen. Daarna komen de technische beschermingsmaatregelen — afschermingen of beveiligingsinrichtingen — en aanvullende beschermingsmaatregelen. Vervolgens komt de gebruiksinformatie.

Voor het gekozen concept bepalen we de besturingstaken. De besturing moet de aangegeven bewegingen tijdens toegang voorkomen, de noodzakelijke instelling mogelijk maken en ervoor zorgen dat het werkstuk bij drukverlies voldoende vastgehouden blijft. Uit deze uitgangspunten leiden we de veiligheidsfuncties en hun reikwijdte af.

De taken van de operator brengen een belangrijk deel van het probleem aan het licht, maar de beoordeling omvat de gehele machine. Ook het uitwerpen van materiaal, lawaai en constructief falen blijven van belang — zelfs wanneer iemand op dat moment geen handmatige interventie uitvoert.

Het volledige besluitvormingsproces wordt getoond in het voorbeeld van een risicobeoordeling volgens ISO 12100. Vervolgens is bij de keuze van de bescherming de toelichting op technische beschermingsmaatregelen nuttig.

ISO 13849-1 verwacht de resultaten van dit werk

Paragraaf 4.5 van ISO 13849-1:2023 vereist de resultaten van de risicobeoordeling, informatie over de benodigde functies, hun bijdrage aan de risicovermindering en de PLr. Paragraaf 5.1 verwijst rechtstreeks naar de gedetailleerde informatie uit de beoordeling volgens ISO 12100.

Dit zijn de invoergegevens voor het ontwerp. Beginnen met het elektrische schema levert die gegevens niet op, hoewel daarmee de eerste pagina van de documentatie sneller kan worden getekend.

In de SRS beschrijven we de functies en functionele eisen, bepalen we de PLr en beoordelen we vervolgens de volledige specificatie voordat het ontwerp begint. Zo schrijven de paragrafen 5.1–5.4 het voor. De PLr maakt al deel uit van de voltooide SRS.

Een eerdere versie zonder PLr blijft een werkdocument. De aantekening ‘vast te stellen bij de inbedrijfstelling’ bepaalt een termijn voor verder werk; zij sluit de veiligheidseis niet af.

De constructeur kent de spaninrichting, de procestechnoloog de instelmethode, de gebruiker de interventies en de besturingsspecialist de mogelijkheden van de besturing. De SRS bevat het resultaat van hun gezamenlijke beslissing. Dit is een goed moment om te ontdekken dat de geplande functie de machine wel zal stoppen, maar bediening ervan onmogelijk zal maken.

Onze operator staat nog steeds met het werkstuk te wachten. Het verschil is dat we de werkplek nog kunnen verbeteren voordat het probleem in een voltooide machine wordt ingebouwd.

Als je ISO 12100 overslaat, begin je met ISO 13849-1 zonder de benodigde antwoorden.

Met een risicobeoordeling kan de benodigde bescherming worden bepaald. De SRS legt de daaruit voortvloeiende besturingseisen vast, inclusief de PLr. Pas zo’n specificatie vormt een basis voor het ontwerp.

Een beweging die een mens nodig heeft, verdwijnt niet doordat zij gevaarlijk wordt genoemd

We keren terug naar het ontwerp van de opspanning. Iemand wijst erop dat stoppen na het openen van de afscherming immers een beproefde functie is. Dat klopt. Maar het werkstuk waarmee de productie moet beginnen, moet nog steeds worden ingesteld.

Normen voor specifieke machines helpen om het begrip ‘beveiliging’ op te splitsen in handelingen, bewegingen en voorwaarden. Dan wordt duidelijk waarom één correcte reactie van de besturing nog niet de bescherming voor het volledige werkproces beschrijft.

De klem moet het werkstuk ook vóór de bewerking vastzetten

Bij een bewerkingscentrum maken we onderscheid tussen automatische werking en handmatig instellen. Voor beide controleren we de benodigde bewegingen, de toegang tot de gevolgen daarvan en de bescherming. Als het opspanmiddel een beweging bij geopende afscherming vereist, moet het ontwerp waarborgen dat deze handeling veilig kan worden uitgevoerd.

Het opheffen van de blokkering zou het programma wijzigen. De hand en de klembekken zouden op dezelfde plaats blijven.

ISO 16090-1 behandelt voor de werktuigmachines binnen haar toepassingsgebied het vastzetten van het werkstuk, de bewaking van de opspanning en de voorwaarden voor het starten van de werking. De vragen gaan dus verder dan alleen de positie van de deur.

Wordt het werkstuk vastgehouden? Welke bewegingen kunnen worden vrijgegeven? Wat gebeurt er bij energieverlies? De antwoorden kunnen een wijziging van de spaninrichting, de besturingswijze of de volledige opspanvolgorde noodzakelijk maken.

Wanneer een type-C-norm een eis of PLr vermeldt, behouden we daarbij ook de beschrijving van de toepassing en de voorwaarden. Alleen de letter wordt gemakkelijk in een tabel overgenomen. Het is moeilijker op te merken dat zij afkomstig was uit een rij over een andere toegangssituatie of machinetoestand.

De SRS moet de volgende persoon in staat stellen deze beslissing te reconstrueren: voor welke handeling de functie is gekozen en waarom juist deze bescherming wordt verwacht.

De balenpers is klaar met persen. Nu moet de baal worden verwijderd

Laten we naar een verticale pers voor het balen van afval gaan, oftewel een balenpers. De ontwerper heeft de beweging van de persplaat tijdens het persen beoordeeld. De deur was gesloten, de toegang werd bewaakt en de cyclus was voltooid.

De operator moet de baal nog binden en verwijderen. Hij opent de deur, verandert van positie en gebruikt de bewegingen die nodig zijn om de baal uit te nemen. Volgens de cyclusbeschrijving is de machine al klaar. Bij de machine rondt de persoon zijn werkzaamheden pas af.

EN 16500:2014 stelt afzonderlijke eisen aan deze fase. Het gaat om bepaalde gesloten verticale balenpersen met handmatige binding, niet om elke willekeurige machine voor het persen van afval.

Paragraaf 5.1.4 behandelt het uitwerpen van de baal, de bediening buiten de zone waarin de baal kantelt en het zicht. Bij toegang via de geopende deur tot de gevaarlijke opwaartse beweging van de plaat wordt tweehandenbediening voorgeschreven. Paragraaf 5.2.2 kent aan deze functie PLr d toe.

In de SRS leggen we de handeling, de beweging en de beveiligingsvoorwaarde gezamenlijk vast. Vervolgens controleren we ook de retourbeweging van het uitwerpsysteem. Alleen het woord ‘persen’ omvat niet alle situaties die zich bij het uitnemen van de baal voordoen.

De aangehaalde versie van EN 16500 verwijst naar EN ISO 13849-1:2008. Met deze samenhang tussen de versies moet bij de keuze van normen rekening worden gehouden. PLr d uit het beschreven geval wordt daarmee geen algemene beoordeling van de volledige balenpers.

In de gestopte zone blijft het materiaal bewegen

De operator verhelpt nu een blokkade tussen twee machines. De aandrijvingen in zijn zone staan stil. De aangrenzende installatie voert nog steeds materiaal aan door een procesopening. De lokale besturing heeft haar taak uitgevoerd.

Materiaal kent de leveringsgrenzen niet.

ISO 11161:2007 met A1:2010 vestigt de aandacht op taakzones en koppelvlakken van een geïntegreerd productiesysteem. Paragraaf 8.1.4 betreft de beveiliging bij materiaalstromen tussen zones.

In paragraaf 8.8.1 omvat de specificatie onder meer bedrijfsmodi, interacties met personen, systeemgedrag, koppelvlakken en reacties op defecten. Twee afzonderlijke berekeningsrapporten laten juist dit gezamenlijke deel van de taak over aan de integrator.

De reikwijdte van de stop of een andere passende beveiliging van het koppelvlak, de toegang en het gedrag van aangrenzende apparatuur moeten op elkaar worden afgestemd. Ook wanneer het vereiste signaal wegvalt. De persoon die de blokkade verhelpt, moet tijdens de volledige interventie beschermd zijn.

De zin ‘koppelvlak onder verantwoordelijkheid van de integrator’ geeft goed aan wie verantwoordelijk is. Daarmee wordt deze taak echter in geen van de gekoppelde machines uitgevoerd.

We keren terug naar onze klem met een concretere vraag: in welke situatie moet de machine de persoon beschermen en welk gedrag is dan vereist? Type-C-normen bevatten eisen voor de toepassing, terwijl type-B-normen helpen om het gemeenschappelijke technische probleem op te lossen.

We passen deze normen in de risicobeoordeling toe op de werkelijke werkplek. In de SRS wordt het resultaat van dit werk vastgelegd, met de voorwaarden die de constructeur, de besturingstechnicus en de persoon die de verificatie uitvoert nodig hebben.

Buiten de automatische cyclus moet de persoon nog steeds werkzaamheden uitvoeren.

Opspannen, het uitnemen van de baal en het verhelpen van een blokkade vereisen dat de bijbehorende bewegingen, toegangsmogelijkheden en energieën worden vastgesteld. De SRS moet de beveiliging gedurende de volledige vereiste handeling waarborgen.

De klem is gestopt. Wat moet er met het werkstuk gebeuren?

‘Wanneer de afscherming wordt geopend, moet de machine stoppen.’ De besturingstechnicus wijst op de stilstaande klem. De constructeur kijkt naar het werkstuk dat de operator nog altijd in zijn hand houdt.

Beiden zien dezelfde machine. Door het woord ‘stoppen’ hoefden ze tijdelijk niet af te stemmen wat er precies bij die machine moest gebeuren.

Daarom leggen we in de specificatie de naam van de functie, het verband met het gevaar, de activerende gebeurtenis en de door de uitgangen geïnitieerde reactie vast. We benoemen de specifieke bewegingen en het beveiligde gebied. Vervolgens kunnen het stoppen van deze bewegingen en de vereiste toestand na het stoppen worden bepaald.

Handmatig instellen met toegang krijgt eigen eisen, in overeenstemming met het gekozen beveiligingsconcept. Afzonderlijk beschrijven we dat een geopende afscherming in de automatische modus het starten van de aangegeven gevaarlijke bewegingen moet verhinderen.

Voor het stoppen en het voorkomen van onverwacht starten kunnen gemeenschappelijke subsystemen worden gebruikt. Elke functie moet echter duidelijk worden beschreven en geverifieerd. De operator heeft nog steeds beveiliging nodig wanneer het systeem de volgende opdracht ontvangt.

Opnieuw wordt voorgesteld: laten we alles uitschakelen

Op het schema ziet het idee er overtuigend uit. We schakelen de uitgangen uit, de energie verdwijnt en de zaak lijkt afgehandeld. De constructeur voegt een voorwaarde toe: stel dat de klem bij drukverlies het werkstuk kan loslaten.

We spreken nu niet meer uitsluitend over het stoppen van de beweging. Ook het vasthouden van de belasting en de duur van de vereiste toestand moeten worden bepaald. Een uitschakelopdracht geeft geen antwoord op de vraag wat het werkstuk na uitvoering van die opdracht vasthoudt.

De SRS beschrijft de fysieke toestand die uit de risicobeoordeling voortvloeit: gestopte bewegingen en het vereiste vasthouden van het werkstuk. Als er ook een verticaal door de zwaartekracht belaste as aanwezig is, is tevens beveiliging tegen dalen nodig. Het ontwerp moet vervolgens aantonen hoe aan deze eisen wordt voldaan.

Het team behandelt het wegvallen van de voeding, ontoelaatbare schommelingen en het terugkeren van energie. Voor elke situatie bepaalt het team het gedrag van het systeem. Zo blijft het herstel van druk of spanning geen onbeschreven onderdeel van de sequentie.

De detectie van een defect wordt afzonderlijk behandeld: de reactie die tot een veilige toestand leidt en het vereiste behoud van die toestand tot aan de reparatie. Bij gelijktijdig actieve functies worden de prioriteit en eventuele conflicten bepaald. Zonder beoordeling mag het stoppen de belasting niet van de vereiste beveiliging beroven.

De sensor heeft al gereageerd. De mechanica heeft tijd nodig

Een persoon zal bij de afscherming niet wachten zolang als voor het mechanisme goed uitkomt. Hij reikt naar een specifieke plaats. Daarom kijkt het team opnieuw naar zijn positie, de toegangsmogelijkheden en de tijd die nodig is om de vereiste toestand te bereiken.

De besturingstechnicus toont de reactietijd van de sensor. Daarna zijn de logica, de communicatie, de actuatoren en de mechanica nog actief. De SRS moet een eis bevatten voor de totale reactietijd van de machine, inclusief het stoppen van de beweging.

Voor het positioneren van beveiligingsinrichtingen volgens ISO 13855 zijn de juiste stopgegevens en de voorwaarden voor de beoordeling daarvan nodig. De belasting, het gereedschap, de temperatuur en de slijtage kunnen het resultaat veranderen. Een cataloguswaarde vervangt geen meting van het gedrag van de volledige machine.

Als gegevens ontbreken, blijft er een open punt bestaan: wie ze aanlevert en welke beslissingen op de uitkomst wachten. Een voorlopige waarde moet later worden bevestigd, anders moet het ontwerp worden gewijzigd.

Anders bouwt de uitvoerder een afscherming rond een getal dat de besturingstechnicus als een aanname beschouwde. Bij de afname zullen beiden bevestigen dat de tijd is besproken.

De operator verandert van bedrijfsmodus en sluit vervolgens de deur

Het werkstuk moet nog worden vastgezet. Als het concept beweging bij geopende toegang toestaat, legt de SRS de bedrijfsmodus en de voorwaarden voor die beweging vast. De gekozen bedrijfsmodus moet eenduidig zijn en de overgang tussen bedrijfsmodi moet de vereiste bescherming handhaven.

Alleen het kiezen van de bedrijfsmodus brengt geen beweging op gang. Ook de aanduiding ‘service’ op het scherm biedt bij de klem geen enkele beveiliging; pas vastgelegd gedrag geeft de besturingstechnicus een eis die moet worden uitgevoerd.

Daarbij beoordelen we ook de reiniging en reparatie van de werkstukhouder. Voor sommige werkzaamheden moet de machine van alle energiebronnen worden geïsoleerd en moeten de scheidingsinrichtingen in de losgekoppelde stand worden vergrendeld. Andere werkzaamheden vereisen passend beveiligde beweging. De resultaten van de risicobeoordeling van deze werkzaamheden moeten in de eisen worden verwerkt.

De oplossing voor het positioneren van onderdelen passen we niet automatisch toe op elke reparatie. Een persoon kan zich dan op een andere plaats bevinden en andere gevaren kunnen bereiken. Een andere naam voor de activiteit in de instructies verandert niets aan zijn toegang tot het mechanisme.

Na het vastzetten sluit de operator de afscherming. De sensor bevestigt de positie van de deur. De sensor bepaalt echter niet uit zichzelf of iemand in de zone is achtergebleven of dat de overige beschermingsmaatregelen functioneren. Als er een tweede persoon aanwezig is, zijn deze vragen bijzonder belangrijk.

In de SRS wordt de hervatting van het bedrijf vastgelegd aan de hand van specifieke voorwaarden voor reset en herstart. Als de risicobeoordeling de noodzaak van een handmatige reset aangeeft, wijzen we daarvoor een plaats buiten de gevarenzone aan, met het vereiste zicht en zonder mogelijkheid tot activering vanuit de zone.

Een reset is een doelbewuste handeling die losstaat van het starten. Acceptatie van het signaal vereist bewaking van de signaalovergang. De reset veroorzaakt op zichzelf geen gevaar, terwijl de desbetreffende veiligheidsfuncties al actief moeten zijn en de technische beschermingsmaatregelen operationeel moeten zijn.

Als een deel van de zone niet zichtbaar is, is een passende oplossing nodig, bijvoorbeeld een resetsequentie of bewaking. De norm staat ook een onderbouwde automatische reset toe, onder meer bij continue persoonsdetectie die voorkomt dat een gevaarlijke situatie ontstaat.

In het document wordt de keuze voor de specifieke toepassing vastgelegd. Als de reset een veiligheidsfunctie moet zijn, moet ook de PLr ervan worden bepaald. We nemen niet aan dat elke knop met hetzelfde opschrift dezelfde functie vervult.

Als ernaast een toevoerinrichting werkt, moet de leverancier de vereiste toestand tijdens toegang tot de werkstukhouder en de reactie bij het wegvallen van signalen kennen. De integrator stemt de interfaces met de overige functies af. Alleen ‘STOP verzonden’ beschrijft de zender; in de specificatie moet ook worden vastgelegd hoe en wanneer de ontvanger reageert.

Eén werkstuk is nog niet representatief voor alle bedrijfsomstandigheden

De operator heeft het vastzetten één keer gedemonstreerd, maar zal dit tijdens een ploegendienst herhaaldelijk uitvoeren. We leggen vast hoe vaak de functie wordt aangesproken en haar elementen in werking treden. Toegang bij elk werkstuk stelt andere gebruikseisen dan een incidentele ingreep.

Daar komen de omgevingsomstandigheden, reiniging en bediening bij, waarbij de oplossing haar eigenschappen moet behouden. We relateren de gegevens van de apparaten aan de werkelijke gebruiksintensiteit en toepassingsomstandigheden. Ook als een identieke component al in een ander werkstation wordt gebruikt.

Voordat de SRS wordt afgerond, krijgt elke functie een PLr met de onderbouwing daarvan: de risicobeoordeling of de toepasselijke eis uit een type-C-norm en de bijbehorende voorwaarden. Voor onze werkstukhouder is de eis voor deze toepassing bepalend.

Het bereikte PL wordt later gebruikt om de uitvoering te beoordelen. Nu bepaalt het team wat de uitvoering moet presteren. Een vergelijkbare vermelding in twee kolommen van een tabel mag dit verschil niet verhullen.

Laten we het zo vastleggen dat de volgende besturingstechnicus niet hoeft te raden

Stel dat het team na de analyse heeft gekozen voor een mechanische werkstukopname die het werkstuk ondersteunt. De operator kan het werkstuk plaatsen en de handen terugtrekken voordat de afscherming wordt gesloten en de klem wordt geactiveerd. Dit is een van de mogelijke varianten van het werkstation. Als de taak nog steeds beweging bij geopende toegang vereist, zijn passende bescherming en eigen eisen nodig.

Laten we de beslissing nu vastleggen op de kaart van één functie. PLr d, 200 ms en de overige getallen hieronder zijn fictieve voorbeeldgegevens en geen parameters om naar een machine te kopiëren. Voor het eigen ontwerp moeten deze waarden worden onderbouwd en moeten de toepasselijke eisen van type C worden toegepast. De kaart blijft een werkvoorbeeld totdat over deze gegevens is beslist.

Voorbeeldkaart SF-01 — fragment van de SRS voor de variant met ondersteund werkstuk

Het blad van één functie is een onderdeel van de SRS. Daar komen de beperkingen van de machine, de taken van personen, de invoergegevens van de risicobeoordeling, de overige functies, de interfaces en het documentbeheer bij. Elke vermelding „niet van toepassing” vereist een onderbouwing. De vastlegging behoudt ook openstaande punten: een ontbrekend PLr of een ontbrekende toegangsvoorwaarde wordt niet verhuld door een handtekening onder een ingevuld formulier.

Neem deze vastlegging over in uw eigen project

De Engelstalige pdf van SafetySoftware bevat een beschrijving van de praktijksituatie, een uitgewerkt blad voor SF-01, beproevingscriteria en invulbare bladen voor het project, de functie en de koppelingen met bewijsstukken. Het voorbeeld toont de werkwijze; de formuliervelden bieden ruimte voor de werkelijke beslissingen van het team.

Download het SRS-voorbeeld en -formulier (pdf, EN)

De constructeur en de automatiseringsingenieur hebben dezelfde uitgangspunten nodig. Daarom hebben de eisen namen, identificatiecodes en een versie, evenals koppelingen met de risicobeoordeling. Later worden verwijzingen naar het ontwerp en de verificatieresultaten toegevoegd.

Ze kunnen worden beheerd in een document, op bladen of in een gecontroleerd register. De norm schrijft de inhoud voor, maar niet één verplicht tabelformaat. Ook de vermelding „niet van toepassing” vereist een onderbouwing voor de toepassing.

Een zo opgebouwde vastlegging vormt de basis voor het ontwerpen volgens 5.2.1.1, omvat de eisen uit 5.2.1.3 en wordt opgenomen in de technische documentatie die in hoofdstuk 12 a) wordt genoemd. Hierdoor kan het werk worden overgedragen tussen de organisatie die de risicobeoordeling uitvoert en de ontwerper van het besturingssysteem.

De gebruiker en de integrator ontvangen de informatie die zij voor hun taken nodig hebben. Hieruit volgt niet automatisch de verplichting om alle interne ontwerpdocumentatie over te dragen. De omvang van de informatie moet worden afgestemd op de verplichtingen en de betreffende toepassing.

Wanneer de automatiseringsingenieur terugkeert naar het programma, vindt die de eisen voor dezelfde hand, klem en opeenvolgende toestanden terug. Bij een wijziging van het opspanmiddel is ook duidelijk waarom deze eisen zijn vastgesteld. De uitgangspunten zijn niet langer afhankelijk van het geheugen van de deelnemers aan de vergadering.

De SRS moet de bescherming gedurende de volledige handeling waarborgen, ook wanneer de energie wegvalt.

Voor activering, beweging, het vasthouden van het werkstuk, de reactietijd van de machine en de werkhervatting moeten overeengekomen eisen bestaan. De vastlegging ervan in de technische documentatie biedt de ontwerper een basis voor de realisatie en de validatie criteria voor de controle.

Nu moeten we uitvoeren wat we hebben vastgelegd

We weten hoe de operator het werkstuk positioneert, welke bewegingen nodig zijn en wat we verwachten wanneer de energie wegvalt. Aan de functies is een PLr toegekend. Iemand kan tijdens de vergadering nu al opmerken dat de veiligheid geregeld is.

Voorlopig hebben we alleen vastgesteld wat er moet gebeuren. De machine voert dit nog niet uit.

We kiezen de architectuur en subsystemen, en werken de logica en parameters uit. We controleren de belastingen, diagnostiek, omgevingsomstandigheden en interactie met de mechanica. De klep moet het systeem in de vereiste toestand brengen; de aandrijffunctie moet overeenkomen met de werkelijke beweging.

Ook de opspaninrichting moet worden uitgevoerd en gecontroleerd. De geometrie ervan moet de gekozen opspanmethode mogelijk maken. Een correct geïmplementeerde voorwaarde in het programma is geen vervanging voor een onderdeel dat het werkstuk zonder ondersteuning met de hand moest vasthouden.

Bij deze werkzaamheden besparen eerder gevalideerde subsystemen tijd. ISO 13849-1 staat het gebruik ervan toe als aan de integratievoorwaarden is voldaan. We behouden de gegevens en toepassingsbeperkingen en onderbouwen vervolgens de koppeling van de volledige functie.

Dit is het juiste moment voor beproefde bouwstenen: we kennen de eis en weten welke eigenschappen we ervan verwachten. We kunnen ook vaststellen wat er na installatie in de machine nog moet worden aangetoond.

Bij de beoordeling van het bereikte PL controleren we de verhouding tot het PLr, de betrouwbaarheid, architectuur, diagnostiek en fouten met een gemeenschappelijke oorzaak. Daarnaast beoordelen we systematische fouten, software, omgevingsomstandigheden en ergonomie. De omvang van de berekeningen bespreken we in het artikel over PL volgens ISO 13849-1.

Het programma kan desondanks een beweging in de verkeerde bedrijfsmodus toestaan. Het betrouwbaarheidsmodel blijft correct beschreven, terwijl de fout in de logica voor de vrijgave van de beweging zit. Juist die voorwaarde moet worden opgespoord en gecontroleerd.

Ook foutuitsluiting vereist een grondslag die geldig is voor de werkelijke montage en het werkelijke gebruik. Een rekentool kan de opspaninrichting niet inspecteren nadat deze op de werkvloer is gewijzigd. Iemand moet nog steeds de werkelijke uitgangspunten voor het model aanleveren.

De verklaring moet worden ondersteund door al het uitgevoerde werk

De SRS alleen volstaat niet om volledige overeenstemming met ISO 13849-1 te verklaren. Daarvoor zijn passende ontwerp-, verificatie-, validatie- en documentatieactiviteiten nodig die aan alle toepasselijke eisen beantwoorden.

Het nummer van de norm is snel ingevuld. Het uitvoeren van het werk dat deze vermelding moet weerspiegelen, neemt iets meer ruimte in beslag dan één regel in de verklaring.

Het ontbreken van ISO 12100 in de lijst met normen bewijst op zichzelf niet dat de risicobeoordeling is overgeslagen. De inhoud, de bevindingen en het gebruik ervan in het ontwerp tonen aan of deze is uitgevoerd. Omgekeerd laat een opdracht als „maak er PL d van”, zonder taak en vereiste bescherming, nog steeds ontbrekende invoergegevens achter.

Na uitvoering van de oplossing keren we terug naar de risicobeoordeling van de volledige machine. We controleren de beoogde risicoreductie en of deze is bereikt zonder nieuwe gevaren te introduceren.

Een gewijzigde opspaninrichting kan het werkstuk beter vasthouden, maar een andere uitneemmethode vereisen. Ook deze volgende handeling analyseren we. Het iteratieve proces van ISO 12100 keert terug naar de werkelijke machine, in plaats van bij de aangepaste tekening te eindigen.

De SRS vormt het begin van het werk dat later moet worden aangetoond.

De selectie, integratie, PL-beoordeling, verificatie en validatie moeten aantonen dat de uitgevoerde functie onder de voorziene omstandigheden aan de eisen voldoet. Het document alleen doet dat niet.

De machine is gestopt. De beproeving is nog niet afgelopen

We openen de afscherming opnieuw. Deze keer weten we welke bewegingen moeten stoppen, binnen welke tijd en hoe het werkstuk moet worden vastgehouden. De besturing meldt de voorziene toestand. Degene die de controle uitvoert, kijkt ook naar het mechanisme.

De beweging, belasting, vasthouding en hervatting van het bedrijf moeten worden bevestigd. Elk van deze effecten koppelen we aan een concrete eis. Alleen een melding op het scherm beschrijft nog niet het resultaat van de volledige beproeving.

Dit werk begon al vóór de bouw van de machine. Paragraaf 5.4 vereist een beoordeling van de SRS voordat het ontwerp begint: beantwoorden de functies aan de risicobeoordeling en bevat de vastlegging de vereiste eisen?

Validatie van de SRS volgens 10.2 maakt het mogelijk om omissies, fouten en afwijkingen ten opzichte van de toepassing, omstandigheden en het redelijkerwijs voorzienbare verkeerde gebruik op te sporen. Een overgeslagen taak is veel eenvoudiger te ontdekken wanneer de opspaninrichting nog alleen op de tekening bestaat.

De validatie van de uitvoering controleert of aan de SRS en de overige toepasselijke eisen is voldaan. Hiervoor worden volgens een plan uitgevoerde analyses en beproevingen gebruikt. De analyses kunnen parallel met het ontwerp beginnen; de afsluitende beproevingen van de fysieke machine ronden het betreffende deel van dit werk af.

Laten we ook de beweging controleren die de operator nodig heeft

Bij de afscherming controleren we de activering, reactie, tijd en handhaving van de vereiste toestand. Daarna gaan we over op het positioneren van het werkstuk. Als de SRS een beweging bij toegankelijke gevarenzones toestaat, beproeven we die juist onder deze omstandigheden.

Daarna volgen het wijzigen van de bedrijfsmodus, het beëindigen van de handeling, het resetten en het opnieuw starten. De operator moet het volledige overeengekomen werkverloop doorlopen. Eén geslaagde opening van de deur bootst nog niet na wat de operator bij de volgende werkstukken zal doen.

In de lijn observeren we ook de tweede machine. De bevestiging dat de besturing ervan het signaal heeft ontvangen, maakt deel uit van de controle. Vervolgens moet nog de vereiste toestand van het gekoppelde systeem worden aangetoond, inclusief de vertragingen en de onderlinge beïnvloeding van de apparatuur.

Afzonderlijke protocollen van leveranciers zullen het materiaal op de overgang niet stoppen. Dit gedrag moet binnen de overeengekomen integratieomvang worden gecontroleerd.

Het plan omvat ook passende analyses en beproevingen van het gedrag van het systeem bij fouten, signaalverlies en wijzigingen in de voeding. De omvang daarvan volgt uit de norm en het ontwerp. De beproevingen vereisen voorbereide, gecontroleerde omstandigheden en bescherming van de deskundige personen die ze uitvoeren.

Bij onze opspaninrichting komt dan opnieuw de vraag aan de orde hoe het werkstuk na onderbreking van de normale werking wordt vastgehouden. Het stoppen van de beweging en het vasthouden van de belasting moeten in hetzelfde resultaat samenkomen en niet in twee afzonderlijke beschrijvingen.

In het protocol worden de beproevingsconditie, het criterium, het resultaat en de machineconfiguratie vastgelegd. Bij een tijdmeting worden ook de methode en de omstandigheden vastgelegd. De volgende persoon moet weten welke belasting is beproefd en welk gedrag als correct is beschouwd.

Een handtekening onder de zin „de functie werkt” neemt minder ruimte in beslag. Helaas laat die voor de volgende ontwerper aanzienlijk meer werk achter.

Het programma is al gecorrigeerd. Het protocol onthoudt nog steeds de vorige versie

De automatiseringsingenieur heeft de voorwaarde voor bewegingsvrijgave gewijzigd, maar het testplan verifieert nog steeds de oude voorwaarde. Beide partijen kunnen hun documentatie afronden, hoewel die verschillende configuraties beschrijft. Daarom moeten de eis, het ontwerp en het bewijsmateriaal betrekking hebben op dezelfde beoordeelde versie.

We volgen de wijziging vanaf de SRS tot aan de bijbehorende resultaten en bepalen de gevolgen voor de overige functies. Een wijziging bij de kleminrichting verdwijnt niet uit de beoordeling alleen omdat deze al in de software is verwerkt.

De norm beveelt aan dat personen die de validatie uitvoeren onafhankelijk zijn van het ontwerp van de SRP/CS. Iemand van buiten het project stelt gemakkelijker een vraag over een aanname die de auteur niet meer opmerkt. Daarvoor zijn competenties, een geschikt proces en gedocumenteerde resultaten nodig die aansluiten bij de reikwijdte van de beoordeling.

Dit betekent niet dat externe certificering van elke functie algemeen verplicht is. Welke aspecten daadwerkelijk zijn aangetoond, wordt bepaald door de uitgevoerde werkzaamheden en de reikwijdte daarvan.

Enkele maanden later arriveert een groter werkstuk

Het grotere werkstuk past op de tafel. De spaninrichting kan ook worden gesloten. Op de werkvloer klinkt dan ook de vertrouwde opmerking: „de machine kan dit toch gewoon”. Voordat we dit met een beweging controleren, gaan we terug naar de grenzen van de machine.

Paragraaf 5.3 van ISO 12100 omvat gebruiksgrenzen, ruimtelijke grenzen, tijdsgrenzen en andere grenzen. Voor onze werkplek controleren we de beoogde werkstukken en gereedschappen, belastingen, de wijze van opspannen en de ruimte die de operator nodig heeft. Alleen de afmetingen van de tafel bepalen niet het toegestane gebruik.

Als de nieuwe taak binnen het beoordeelde toepassingsgebied valt, kan deze een voorziene omstelling zijn. We bevestigen dan dat voor deze configuratie nog steeds aan de vastgestelde beschermingsvoorwaarden wordt voldaan. Een groter werkstuk hoeft geen verbouwing van de machine te betekenen.

Stel echter dat de operator nu vanaf de andere kant bij de machine moet komen, die vanaf de resetlocatie niet zichtbaar is. Of dat het nieuwe gereedschap de stoptijd verlengt tot boven de waarde waarvan bij het ontwerpen van de bescherming is uitgegaan. Dan is er iets gewijzigd waarop de doeltreffendheid van die bescherming was gebaseerd.

In de schakelkast is geen enkele module vervangen. De componentenlijst ziet er dus geruststellend uit. Alleen staat daarin niet vermeld vanuit welke richting de operator zijn hand in de machine steekt.

We keren terug naar de grenzen en de risicobeoordeling en van daaruit naar de eisen die in de SRS zijn vastgelegd. We bepalen de gevolgen van de wijziging voor het ontwerp en de bestaande resultaten. We geven de nieuwe taak vrij nadat de benodigde bescherming is geïmplementeerd en de vereiste verificaties en validatie zijn uitgevoerd.

Alleen het toevoegen van een groter werkstuk aan de documentatie rechtvaardigt geen uitbreiding van het toepassingsgebied.

Hetzelfde geldt voor de voorwaarden om de bescherming in stand te houden. Als deze afhankelijk is van inspectie, afstelling, vervanging van een onderdeel of een bepaalde gebruiksduur, moet deze informatie beschikbaar zijn voor de personen die deze werkzaamheden uitvoeren. De tijdsgrenzen eindigen niet bij de ingebruikname.

Voor servicewerkzaamheden maakt de SRS, gekoppeld aan de risicobeoordeling en de ontwerpdocumentatie, het mogelijk deze beslissingen te reconstrueren. Zonder vastlegging rest slechts een telefoontje naar degene die enkele jaren geleden de software heeft geschreven, in de hoop dat die zich herinnert voor welke werkzaamheden de betreffende voorwaarde is vastgesteld.

De verbouwing die voor het nieuwe gebruik nodig is, kan ook een ingrijpende wijziging blijken te zijn. Alleen een groter werkstuk of het overschrijden van de bestaande grenzen is daarvoor nog niet doorslaggevend. De juridische criteria voor de uitgevoerde wijziging zijn bepalend.

Verordening (EU) 2023/1230 legt deze vast in art. 3, punt 16, en de verplichtingen van degene die een ingrijpende wijziging uitvoert in art. 18. Deze bepalingen zijn van toepassing vanaf 20 januari 2027. Het bijwerken van de SRS is slechts een deel van de werkzaamheden die door een dergelijke wijziging nodig kunnen worden.

Bij de afname verifiëren we wat we in de SRS hebben toegezegd.

We verifiëren bewegingen, energieën, toegang en interfaces waarvan mensen gebruikmaken. Een wijziging van de taak of de omstandigheden vereist een beoordeling of de bestaande bescherming en de onderbouwing daarvan nog steeds passend zijn.

Voordat je de volgende set bestelt

Laten we teruggaan naar de operator met het werkstuk. Het doorlopen van één handeling bracht een lacune aan het licht die niet in de apparatencatalogus of het PL-rapport stond. Er moesten afspraken worden gemaakt over de uitrusting, de toegang, de bewegingen en het gedrag na verlies van energie.

Uit deze beslissingen ontstond een ontwerpopdracht. Nu kan het besturingssysteem worden geselecteerd en kan worden geverifieerd of het de benodigde bescherming realiseert. De certificaten en berekeningen hebben nu een referentiekader.

Doorloop dit proces bij de volgende machine samen met iemand die de werkzaamheden op de werkplek kent. Zoek de taak en de bijbehorende gevaren in de risicobeoordeling, de eisen in de SRS en vervolgens de antwoorden in het ontwerp en de verificatieresultaten. Dan wordt zichtbaar waar de onderbouwing is afgebroken.

En als bij de gereedstaande schakelkast de vraag wordt gesteld of de veiligheid nu geregeld is, laat dan zien hoe de operator het werkstuk moet opspannen en wat hem daarbij beschermt. Dat verkort doorgaans zeer effectief een discussie die alleen over componenten gaat.

Bronnen en reikwijdte van de aangehaalde voorbeelden

De genoemde uitgaven en paragrafen vormen de basis. De voorbeelden verduidelijken hoe eisen moeten worden geformuleerd; voor elke ontworpen machine moet het passende toepassingsgebied worden beoordeeld.

1. ISO 13849-1:2023, Veiligheid van machines — Onderdelen van besturingssystemen met een veiligheidsfunctie — Deel 1: Algemene regels voor ontwerp: 4.1–4.6, 5.1–5.4, waaronder 5.2.1.3 en 5.2.2–5.2.3, hoofdstukken 6–10 en 12–13.

2. ISO 12100:2010, Veiligheid van machines — Algemene ontwerpbeginselen — Risicobeoordeling en risicoreductie: hoofdstukken 4–6, in het bijzonder 5.3–5.4.

3. ISO 16090-1:2022, Veiligheid van gereedschapsmachines — Bewerkingscentra, freesmachines, transfermachines — Deel 1: Veiligheidseisen: 5.2.5.5, opspanning van het werkstuk.

4. EN 16500:2014, Machines voor het verdichten van afvalmaterialen of recyclebare fracties — Verticale balenpersen — Veiligheidseisen: 5.1.4 en 5.2.2. Reikwijdte: bepaalde gesloten verticale balenpersen met handmatig afbinden. De aangehaalde eisen uit deze uitgave verwijzen naar EN ISO 13849-1:2008.

5. ISO 11161:2007 met Amd 1:2010, Veiligheid van machines — Geïntegreerde productiesystemen — Basiseisen: 7.1–7.2, 8.1.4 en 8.8–8.10. Het voorbeeld betreft taken, interfaces en het beschermingsbereik in een geïntegreerd productiesysteem.

6. ISO 13855:2024, Veiligheid van machines — Positionering van beveiligingsinrichtingen met betrekking tot de nadering van het menselijk lichaam: bijlagen B en D, gegevens en voorwaarden voor de beoordeling van het stoppen.

7. Verordening (EU) 2023/1230 van het Europees Parlement en de Raad betreffende machines: art. 3, punt 16 — definitie van een ingrijpende wijziging; art. 18 — verplichtingen van de persoon die een ingrijpende wijziging uitvoert; art. 54 — termijnen voor de toepassing van de bepalingen.