”Vid fara trycker operatören på nödstoppsknappen.” Så kan man försöka avsluta diskussionen om maskinskydd. Knappen finns, kretsen fungerar och maskinen stannade under provet. Sedan återstår bara att anta att människan upptäcker faran, hinner reagera och gör det som konstruktionen och skyddet av arbetsplatsen aldrig säkerställde.
Konstruktören får inte tillgodoräkna sig operatörens reflexer som ersättning för saknade skyddsåtgärder. En förebyggande säkerhetsfunktion ska förhindra en bestämd farlig händelse. En nödstoppsfunktion ska göra det möjligt att ingripa mot en pågående eller nära förestående nödsituation, motverka att den utvecklas och begränsa konsekvenserna. Den kan bidra till att undvika en skada. Det gör den inte till ersättning för skydd som ska hindra den farliga händelsen från att inträffa.
Det är skillnaden mellan att tillhandahålla skydd och att hoppas på ett lyckat ingripande. Den skillnaden får inte försvinna i en riskbedömning bakom den bekväma formuleringen ”säkerhetssystem har installerats”. ISO 13850 beskriver nödstopp som en kompletterande skyddsåtgärd. Inte för att funktionen är oviktig, utan för att den ska komplettera övriga skyddsåtgärder – inte ursäkta att de saknas.
Sedan kommer nästa missförstånd: ”När någon trycker bryter vi allt.” Det låter beslutsamt. Men en stoppad maskin behöver inte vara en säker maskin. En person kan fortfarande vara fastklämd, samtidigt som frånkopplingen slår ut utrustning som behövs för att skydda eller frigöra personen.
Stillestånd visar inte i sig att faran är under kontroll. Nödstoppsfunktionens uppgift kan därför inte reduceras till att koppla bort så många enheter som möjligt. Man måste fastställa vilka farliga rörelser och processer som ska upphöra, i vilken ordning det ska ske och vad som måste fortsätta fungera för att skydda människan. I vissa tillämpningar behövs även andra skyddsåtgärder än själva stoppet.
Operatören ska kunna initiera reaktionen med en enda handling. Före trycket ska personen inte behöva fundera över om frånkopplingen blir värre än den aktuella faran. Det ska redan vara löst i konstruktionen. Ju enklare människans ingripande ska vara, desto mindre utrymme finns för ogenomtänkta konsekvenser i maskinens reaktion.
Om acceptansprovet bara kontrollerar att drivningen stannar kan stoppet bekräftas utan att den viktigaste frågan besvaras: utförde maskinen rätt åtgärd mot nödsituationen? Anteckningen ”E-STOP fungerar” förklarar varken vad det övriga skyddet ska förhindra eller vad som händer med människan efter trycket. Möjligheten att stoppa en maskin bevisar inte att rätt skydd har tillhandahållits. Och stoppad rörelse betyder inte alltid att faran är över.
Nödstoppsknappen kan vara röd, tydlig och felfritt inkopplad. Den fyller ändå inte hålet efter ett skydd som aldrig konstruerades.
1. Förebyggande skydd och nödingripande är inte två sätt att göra samma sak
”Ljusridån stoppar maskinen. Nödstoppsknappen också. Varför krångla?” Om skyddets effektivitet bara avgjordes av om motorn till slut stannar vore frågan rimlig. Då kunde två kopplingsscheman jämföras, samma kontaktor hittas och skillnaden förklaras med priset.
Men då missar man när maskinen stannar och vad som kan hända människan fram till dess. En förebyggande säkerhetsfunktion ska förhindra en bestämd farlig händelse. Nödstoppsfunktionen ska motverka en pågående eller nära förestående nödsituation. Båda kan behöva stoppa en rörelse. De löser ändå inte samma problem.
Ljusridån ska inte tala om att någon redan har nått verktyget
Tänk på en arbetsstation där en person kan nå ett rörligt verktyg. Anta att åtkomsten kan skyddas med en ljusridå: den farliga rörelsen kan stoppas under cykeln och verktyget kan inte nås utan att detekteringsfältet passeras.
Ljusridån registrerar handen och initierar stoppet. Avståndet till verktyget tar hänsyn till hela systemets reaktionstid och maskinens stopprörelse. Den farliga rörelsen ska ha upphört innan människan kan nå den. Det är funktionens uppgift. Inte bara att växla utgångar eller visa meddelandet ”säkerhetsstopp” på panelen.
Om handen kan nå det rörliga verktyget innan maskinen har stannat finns inget skydd mot den kontakten. Det gäller även om ljusridån reagerade korrekt, styrsystemet tog emot signalen och drivningen utförde kommandot. Alla komponenter kan fungera enligt projektet. Det kan vara projektet som är fel.
Därför provar man inte en ljusridå enbart genom att bryta strålarna. Man måste visa att detekteringen och stoppet faktiskt förhindrar den händelse som funktionen skulle skydda mot.
Vid nödstopp måste människan initiera ingripandet
Ett nödstoppsdon övertar inte uppgiften att detektera åtkomst. Det ska ge en människa möjlighet att utlösa den planerade reaktionen när en situation kräver omedelbart ingripande. En skada behöver inte redan ha inträffat. ISO 13850 omfattar även nära förestående nödsituationer. Någon kan upptäcka ett farligt händelseförlopp och trycka innan skada uppstår. Ingripandet kan också behövas när den farliga påverkan redan pågår.
I det första exemplet startas skyddet när handen detekteras. I det andra måste en människa uppfatta behovet och initiera reaktionen. Skillnaden försvinner inte genom att säga att ”båda stoppar”.
Om ljusridån tas bort och bara nödstoppsknappen lämnas kvar sker inte längre något automatiskt stopp när handen upptäcks. Uppgiften att se problemet och starta reaktionen har flyttats till människan. Detekteringen försvann ur konstruktionen. I motiveringen tillkom raden att operatören är utbildad. Besparingen är verklig. Likvärdigheten mellan skydden är påhittad.
Det är därför ISO 13850 beskriver nödstopp som en kompletterande skyddsåtgärd och förbjuder att det behandlas som ersättning för tekniska skyddsåtgärder och andra nödvändiga funktioner. Nödstopp är också en säkerhetsrelaterad funktion. Det betyder inte att den kan tilldelas vilken skyddsuppgift som helst.
Samma relä suddar inte ut skillnaden
Funktioner kan dela styrkomponenter om tillämpliga krav är uppfyllda. Apparater ska inte mångdubblas för sakens skull. Däremot måste man separat fastställa vad som ska initiera varje funktion och vilket skyddsändamål den har.
För ljusridån verifieras skyddet mot farlig kontakt. För nödstoppet verifieras rätt reaktion på den aktuella nödsituationen, vilket inte alltid är detsamma som stillestånd. Ett tryck på nödstoppsknappen visar inte att människan hindras från att nå det rörliga verktyget. En korrekt installerad ljusridå besvarar inte heller alla frågor om det nödvändiga nödingripandet.
En gemensam kontaktor kan motiveras. Ett gemensamt ”godkänt” kan inte kopieras mellan två olika skyddsuppgifter.
Två funktioner kan stoppa samma motor och ändå skydda mot helt olika händelser. Kontaktorn ser ingen skillnad. Riskbedömningen måste göra det.
2. ”Operatören hinner” är inget maskinskydd
Anta att en åtkomlig kedjedrivning har lämnats vid en station för manuell inmatning. Risken för indragning har identifierats. Som skyddsåtgärder anges nödstoppsknapp, märkning och utbildning. Därefter bedöms risken som acceptabel.
Kedjan är fortfarande åtkomlig. Arbetstagaren utför samma uppgifter bredvid den. Det som förändrades var färgen på en cell i kalkylbladet. Skyddet rymdes inte i budgeten. Operatörens reflex skrevs in gratis.
Vad var det egentligen som minskade risken?
En monterad knapp begränsar inte åtkomsten till drivningen. Den minskar inte arbetets frekvens i närheten och tar inte bort mekanismens förmåga att gripa tag. Den ger möjlighet att initiera ett nödstopp. Nu måste det visas under vilka omständigheter ingripandet faktiskt kan hjälpa.
Vem upptäcker faran? Hur känns den igen? Kan personen nå nödstoppsdonet? Finns det tillräcklig tid mellan upptäckten och skadan för en verksam reaktion? Svaret ”operatören är utbildad” löser bara en del av detta. Det visar förberedelse för vissa åtgärder, inte att personen fysiskt kan utföra dem i den aktuella situationen.
En namnteckning på utbildningslistan förkortar inte maskinens stopprörelse och förlänger inte tiden till indragning. Nödstopp kan förbättra möjligheten att undvika eller begränsa skada och är därför inte värdelöst i riskbedömningen. Men nyttan måste knytas till ett konkret händelseförlopp. Den delas inte ut automatiskt för att en röd knapp finns.
Om en effektiv intervention inte har visats finns det ingen grund för att motivera tillräckligt skydd mot indragning med raden ”E-STOP och utbildning”.
Tiden mättes från trycket – inte från farans början
Under provet står kontrollanten intill nödstoppsdonet, vet vad som ska göras och initierar stoppet. Mätningen visar tiden från aktivering till att den farliga rörelsen upphör. Det är ett nödvändigt resultat. Men det omfattar inte det som måste ske först i verkligheten: faran ska upptäckas, behovet av ingripande ska förstås och handlingen ska utföras.
Styrsystemets svarstid är fastställd. För operatören antog man bara att tiden räcker.
Arbetstagaren kan ha båda händerna upptagna med detaljen. Personen kan stå utom räckhåll för knappen eller behöva hjälp just därför att ett eget ingripande inte längre är möjligt. Antagandet att någon annan trycker måste också verifieras. Den andra personen måste vara närvarande, se situationen och kunna agera. Ingen medhjälpare materialiseras vid stationen för att riskbedömningen innehåller orden ”hjälp av kollega”.
Därför bedöms tillgängligheten från de platser och under de arbetsuppgifter där ett ingripande kan behövas. Inte bara från den bekväma positionen framför manöverpanelen under acceptansprovet.
Ett fungerande styrsystem kan få kommandot för sent. Det är inget reläfel som diagnostiken upptäcker, utan ett overifierat antagande om människans medverkan. Kortare svarstid i styrsystemet reparerar inte ett problem som uppstår före knapptrycket.
”Iaktta särskild försiktighet” – helst hela skiftet
Vid stationen står det: ”Operatören ska iaktta särskild försiktighet, kontinuerligt övervaka maskinen och omedelbart använda nödstoppet vid fara.” Meningen passar nästan varje maskin. Just därför säger den så lite.
Anta att operatören ska ta emot färdiga produkter, kontrollera kvaliteten och lägga dem i en behållare bakom arbetsplatsen. Samtidigt kräver instruktionen ”oavbruten övervakning av riskområdet”. För att lägga ifrån sig produkten måste personen vända sig om. Det är inte ett brott mot instruktionen, ett telefonsamtal eller en egen arbetsmetod. Det är uppgiften som konstruktören planerade – samma konstruktör som gjorde säkerheten beroende av att personen tittar åt motsatt håll.
Bemanningen planerades för en person. Uppmärksamheten planerades tydligen för två.
Uppmaningen ”stoppa omedelbart” löser då ingenting. Någon måste först upptäcka att stoppet behövs. Om skyddskonceptet bygger på ständig övervakning medan de föreskrivna uppgifterna avbryter övervakningen är antagandena oförenliga. Ordet ”särskild” framför ”försiktighet” tar inte bort motsägelsen. Det skärper bara kravet på operatören utan att förändra förutsättningarna.
Varningar ska inte rensas bort ur instruktionerna. Men de får inte utföra det konstruktionsarbete som aldrig blev gjort. Information till användaren har sin plats i riskreduceringen. Den ersätter inte korrekt tillämpade konstruktiva och tekniska skyddsåtgärder.
Samma sak gäller nödstoppsfunktionen. Den kompletterar skyddet. Den flyttar inte skyddets uppgift till människans vaksamhet. Stationen måste vara bedömd även när operatören korrekt utför en uppgift som tillfälligt riktar uppmärksamheten bort från maskinen. Frågan varför personen inte tittade ska inte komma först efter olyckan.
”Se upp, operatör” kan vara en varning. Det är inte ett tekniskt skydd levererat som en mening.
Reflexen skrivs in gratis i kalkylbladet. I verkligheten kostar varje sekund – och maskinen väntar inte på att människan ska hinna förstå.
3. En stoppad maskin kan fortfarande skada människan
I funktionsbeskrivningen står det: ”När nödstoppet aktiveras stoppas drivningarna och maskinen övergår till ett säkert tillstånd.” Den första delen kan provas: drivningarna har slutat orsaka farlig rörelse. Den andra kräver att man fastställer vad som hotar människan utöver rörelsen och vad som hände med den faran.
Det är lätt att skriva ”säkert tillstånd” efter ordet ”stopp”. I maskinen uppstår sambandet inte vid kommatecknet. Rörelsen kan upphöra samtidigt som personen förblir klämd, inspärrad eller utan möjlighet att ta sig loss. Maskinen behöver inte starta nästa cykel för att fortsätta orsaka skada.
Hastigheten blev noll – klämkraften behövde inte bli det
Tänk på ett valsverk där en vals pressas mot den andra med fjädrar. En kroppsdel dras in, E-STOP aktiveras och rotationen stannar. Den fortsatta indragningen avbryts, men valsarna ligger fortfarande an. Drivningen gjorde exakt som den skulle. Fjädrarna också. Människan är fortfarande fastklämd.
Det betyder inte att stoppet var onödigt eller misslyckades med att avbryta indragningen. Det betyder att stoppet inte löste hela situationen. Att avbryta en farlig rörelse och att möjliggöra frigörande är två olika uppgifter som måste fungera tillsammans.
Om analysen omfattar indragning måste den också fastställa hur den fastklämda personen kan frigöras. Beroende på konstruktionen kan det krävas att delar förs isär, att trycket släpps eller att en särskilt utformad motrörelse utförs. Ingen av åtgärderna är automatiskt rätt för varje maskin. Problemet är inte löst bara för att det har slutat röra sig.
ISO 13850 reducerar inte nödingripandet till stillestånd
ISO 13850 medger att nödstoppsfunktionen initierar andra funktioner än stopp, exempelvis reversering eller begränsning av rörelse. Målet är att begränsa möjligheten till skada, inte att maximera antalet frånkopplade utgångar.
Farliga rörelser och processer ska stoppas. Därav följer inte att varje rörelse under ett nödingripande är förbjuden. En korrekt konstruerad förflyttning kan skydda människan.
Men ordet ”korrekt” gör hela jobbet. Vid en planerad reversering måste man avgöra om motrörelsen verkligen hjälper i den aktuella fastklämningen. Förvärras skadan? Uppstår ett annat indragningställe? Vad händer med trycket? Vilket rörelseområde och vilket styrsätt behövs?
Att byta tecken på ett hastighetsbörvärde är ännu ingen räddningsfunktion, även om ändringen bara tar en programrad. ISO 13850 anger att sådana åtgärder kan förekomma men specificerar inte deras detaljerade utförande. En hänvisning till standarden visar därför inte att valfri reversering eller öppning av en mekanism är säker. Den konkreta lösningen måste bedömas.
Stoppet får inte ta bort möjligheten till frigörande
Man måste skilja mellan en extra åtgärd som ingår i reaktionen på E-STOP och en separat funktion för att frigöra en person efter stoppet. I det första fallet är åtgärden en del av den konstruerade nödreaktionen. I det andra utför stoppet inte hela frigörandet men bevarar möjligheten att genomföra det med avsedda hjälpmedel.
Varje maskin ska inte automatiskt öppna mekanismer eller reversera när knappen trycks in. ISO 13850 kräver däremot att nödstoppet inte försämrar andra skyddsfunktioner och nämner uttryckligen frigörande av fastklämda personer.
Det blir avgörande när förklaringen lyder: ”Det går att frigöra personen, men först måste normal drift återställas.” En frigörandefunktion ska möjliggöra räddning. Den ska inte åter göra alla produktionsrörelser tillgängliga i hopp om att någon bara använder den rätta.
Villkoren för aktivering, tillgängliga rörelser och deras begränsningar ska bestämmas i konstruktionen. Inte när någon redan behöver hjälp. Efter stoppet måste man därför kunna svara på mer än vad som står stilla: vilken farlig påverkan finns kvar, och hur ska den hanteras?
Ett säkert tillstånd uppstår inte för att en variabel i styrsystemet har fått det namnet. Tillståndet måste finnas i den verkliga maskinen – även för människan som inte kan ta sig loss.
Stillestånd är ett maskintillstånd. Säkerhet är ett tillstånd för människan. De två sammanfaller inte automatiskt.
4. Därför kan total frånkoppling göra situationen värre
”När nödstoppsknappen trycks in stänger vi av alla utgångar.” Kravet är enkelt. Programmet också. Under provet är det lätt att kontrollera att allt slocknar.
Men en utgång kan mata drivningen som orsakar faran, medan nästa matar utrustningen som skyddar mot en annan fara. Att stänga av båda ger inte dubbelt skydd. ISO 13850 kräver att nödstoppsfunktionen har företräde, men förbjuder samtidigt att den försämrar andra skyddsfunktioner. Standarden anger också att hjälputrustning, exempelvis elektromagnetiska lyftdon eller bromsanordningar, kan behöva fortsätta fungera.
Det är ingen motsägelse. Det är ett skäl att kontrollera vad den gemensamma frånkopplingen faktiskt försörjer innan den ritas.
Drivningen ska stoppas – lasten får inte följa med ner
Anta att en maskin flyttar en stålkomponent med ett elektromagnetiskt lyftdon som kräver kontinuerlig matning. Lasten hålls av magneten och konstruktionen saknar ett oberoende skydd mot att den släpper. Konstruktören låter samma frånkoppling bryta både rörelsedrivningarna och matningen till magneten.
När E-STOP trycks in stannar drivningarna. Magneten förlorar sin hållkraft. Kommandot utfördes felfritt – inklusive delen som tog bort lastens stöd.
Problemet är inte en knapp som vägrade fungera eller en kontaktor som svetsade fast. Apparaterna gjorde exakt det som projekterades. Felet var antagandet att alla elektriska förbrukare kan behandlas lika bara för att de drivs med el.
Den verkliga uppgiften är att stoppa den farliga förflyttningen och samtidigt bibehålla säker lastbärning. Lösningen måste väljas och verifieras för den aktuella konstruktionen. Det innebär inget universellt krav på att en viss krets alltid ska förbli spänningssatt. Kravet gäller att hållfunktionen förblir effektiv.
”Men efter E-STOP ska det väl inte finnas någon energi?” Gravitationen går inte genom kontaktorn. Den stängs inte av tillsammans med den.
Även släcksystemet kan stängas av föredömligt
Ett annat exempel är en maskin med ett släcksystem som behöver elektrisk energi för att aktiveras. Anta att släckstyrningen och anordningen som matar släckmedlet försörjs från den krets som bryts av E-STOP.
Materialet antänds. Operatören aktiverar nödstoppet. Drivningarna stannar, men branden fortsätter. Släcksystemet kan inte längre utföra sin uppgift eftersom dess matning just kopplades bort.
Släcksystemet är fullt fungerande. Man måste bara se till att ingen använder nödstoppet först när det brinner. Ett sådant villkor ska inte finnas i konstruktionen.
ISO 13850 nämner brandsläckning som ett exempel på en skyddsfunktion som nödstoppet inte får påverka negativt. Det betyder inte att processen ska fortsätta oförändrad under en brand. Man måste bestämma vilka aktiviteter som ska avbrytas, vilka farokällor som ska kopplas bort och hur brandskyddets effektivitet ska bevaras.
”Stäng av allt” avgör inget av detta. Formuleringen kör bara förbi frågorna.
Stoppkategori 0 betyder inte att hela maskinen blir spänningslös
ISO 13850 anger nödstopp enligt stoppkategori 0 eller 1, vald utifrån riskbedömningen. Vid kategori 0 bryts energin till maskinens drivande delar omedelbart. Det betyder inte att rörelsen omedelbart upphör; ytterligare bromsning kan behövas.
Vid kategori 1 behålls energin till de drivande delarna under stoppförloppet och bryts när stoppet har uppnåtts. Kategorien beskriver hur stoppet utförs. Den är inget kommando att slå ifrån varje enhet som råkar finnas på samma schema.
Valet av kategori befriar därför inte konstruktören från att bedöma lyftdonet, bromsen eller släcksystemet. Kontaktorns frånslagstid visar inte heller om den farliga rörelsen upphörde på rätt sätt eller om stoppet skapade en ny fara.
Poängen är inte att lämna farliga funktioner aktiva under förevändningen att skydd måste bibehållas. Poängen är att skilja mellan två uppgifter: stoppa det som hotar och inte slå ut det som fortfarande ska skydda.
Allt stängdes av. Så noggrant att även det som skulle skydda människan försvann. Det repareras inte med tillägget ”nödstopp enligt standard”.
Att koppla bort mer är inte automatiskt säkrare. Ibland kopplar man bara bort det sista som höll lasten uppe eller branden tillbaka.
5. Operatören ska inte behöva gissa om trycket gör allt värre
”Operatören vet i vilken ordning utrustningen ska stängas av.” Det kan beskriva ett planerat produktionsstopp. Som förklaring till nödstoppet betyder det att en del av styrsystemets uppgift har lagts på människans minne.
Personen ska upptäcka faran, minnas beroendena mellan enheterna och genomföra rätt sekvens. Helst utan misstag, eftersom ordningsföljden tydligen har betydelse för säkerheten. Hela produktionscykeln automatiserades. När det blev dags för säker stoppning valde man handarbete.
ISO 13850 kräver att beslutet att aktivera ett nödstoppsdon inte ska förutsätta överväganden om följderna. Människan ska känna igen behovet av ingripande. Personen ska inte dessutom behöva räkna ut om knapptrycket gör situationen värre.
En handling av människan betyder inte en handling i maskinen
Nödstoppsfunktionen initieras med en enda handling. Därefter ska farliga rörelser och processer stoppas på rätt sätt utan behov av ytterligare ingripande. ISO 13850 medger att detta kräver en på förhand fastställd sekvens.
Ett tryck kan alltså starta flera samordnade åtgärder. Det innebär varken att allt måste stängas av samtidigt eller att operatören får stänga av resten manuellt. Om säkerheten kräver en viss ordning ska den bestämmas under projekteringen. Detsamma gäller vilka aktiviteter som ska upphöra, vad som måste förbli effektivt och vilket tillstånd som ska uppnås.
Raden ”sekventiellt stopp” besvarar inte de frågorna.
Det handlar inte om att automatisera varje efterföljande räddningsåtgärd. Kravet på stopp utan fortsatt ingripande avser maskinens farliga aktiviteter. Separata hjälpmedel för att frigöra en person kan behöva manövreras medvetet enligt den avsedda lösningen.
Att använda en frigörandefunktion är en sak. Att först med en andra knapp stoppa en rörelse som fortfarande hotar den person som behöver hjälp är en helt annan.
Varje leverantör stoppade sin del – matningen fortsatte
Tänk på en linje som bearbetar långa profiler. Bearbetningsmaskinen och mataren har separata styrsystem. Nödstoppsdonet vid maskinen stoppar verktyget men inte mataren, som fortsätter skjuta in profilen i arbetsområdet. I den aktuella situationen kan den fortsatta matningen klämma en person.
Verktyget står stilla. Materialet rör sig fortfarande.
Leverantörens förklaring: ”Mataren har en egen nödstoppsknapp.” Det har den. Men personen använde redan nödstoppsdonet vid faran och fick ändå inte den nödvändiga reaktionen.
Leveransgränserna är tydliga. Nu återstår bara att få nödsituationen att respektera dem.
Samverkan mellan utrustningarna måste ingå i analysen. Stoppet ska omfatta matningen om fortsatt matning upprätthåller den aktuella faran. Att varje maskin reagerar på sin egen knapp visar inte att hela linjens nödreaktion är effektiv.
Det betyder inte att varje knapp måste stoppa hela fabriken. Det betyder att verkningsområdet inte bestäms av kapslingsgränsen eller av vilken leverantör som skrev programmet.
”Vilken nödstoppsknapp?” ska vara avgjort före nödsituationen
Utgångspunkten i ISO 13850 är att nödstoppsdonet påverkar hela maskinen. Standarden medger samtidigt indelning i verkningsområden, exempelvis när stopp av alla sammankopplade maskiner skulle skapa ytterligare faror eller påverka produktionen i onödan.
En sådan indelning kräver analys av maskinernas placering, möjligheten att känna igen faran, processkonsekvenserna och sammanhängande risker. Områden får överlappa varandra. Ett stopp i ett område får inte öka risken i ett annat eller hindra att nödstopp aktiveras där.
Det är tillåtet att undvika ett onödigt produktionsstopp. Att lämna kvar en farlig matningsrörelse blir ändå inte produktionsoptimering.
Människan måste kunna koppla nödstoppsdonet till faran och förstå dess verkningsområde. ISO 13850 anger att placering och piktogram kan användas och rekommenderar att man undviker lösningar där instruktioner måste läsas eller områdesindelningen memoreras i förväg.
Märkningen ”S14” gör knappen lätt att hitta på elschemat. Den förklarar inte för personen vid maskinen vilka delar som stannar. Elscheman kan läsas vid skrivbordet. Under nödingripandet ska den delen av projekteringen redan vara klar.
Ju enklare människans handling ska vara, desto mer exakt måste maskinens reaktion förberedas. Ett enkelt gränssnitt ersätter inte analysen. Det ska vara resultatet av analysen.
I en nödsituation sammankallas inget möte mellan konstruktören, automationsingenjören och processteknikern. Den diskussionen ska redan ha ägt rum.
Operatören ska göra en sak. Maskinen kan behöva göra flera. Sekvensen hör hemma i konstruktionen, inte i människans stressade minne.
6. Anteckningen ”E-STOP fungerar” ersätter inte en bedömning av skyddet
”Alla knappar provade. Resultat godkänt.” Protokollet innehåller beteckningar, datum och signaturer. Maskinen stannade efter varje tryck. Det som saknas är information om vad som räknades som rätt reaktion, utöver att inget längre rörde sig.
Knappen provades mot sitt nummer på schemat. Funktionen behövde först få krav.
Först kriteriet, sedan det godkända resultatet
Före provet måste den avsedda effekten vara känd. Vilka aktiviteter ska upphöra, inom vilken tid, i vilket område och under vilka villkor? Vad ska förbli effektivt? Vilket beteende visar att kraven inte är uppfyllda?
Utan dessa svar blir det lätt att godkänna exakt det som råkade observeras. Drivningen stannade efter några sekunder? Då var det väl så den skulle stanna. Grannsektionen fortsatte? Då ingår den förmodligen inte i området. Dokumentationen avgjorde inget, så resultatet kan inte motsäga den.
Om kriteriet skrivs efter provet är det enkelt att konstruera en maskin som alltid klarar provningen. Man behöver bara undvika att kräva mer än maskinen just gjorde.
I praktiken kan underlaget struktureras så här:
| Område | Vad måste fastställas? | Vad ska dokumenteras eller hänvisas till? |
|---|---|---|
| Nödsituation | Vilken pågående eller nära förestående situation kräver ingripande? Vem kan initiera det? | Scenario, mänskliga arbetsuppgifter, maskinens tillstånd och placeringen av tillgängliga nödstoppsdon. |
| Avsedd skyddseffekt | Vad ska aktiveringen förändra? Vilken farlig påverkan ska avbrytas eller begränsas? | Krävt tillstånd och villkor för att nå det samt vid behov ytterligare skyddsåtgärder och hjälpmedel för frigörande. |
| Maskinens reaktion | Vad ska stoppas, i vilken ordning, inom vilken tid och i vilket område? | Funktionsbeskrivning, stoppkategori, sekvens, tidsgränser och samband med övrig utrustning. |
| Kvarvarande skydd | Vad måste fortsätta fungera? Skapar reaktionen en ny fara eller försämrar den läget i ett annat område? | Krav på funktioner som ska bibehållas, motivering av lösningen och resultat från verifiering av samverkan. |
| Bekräftelse | Hur visades att utförandet uppfyller de fastställda kraven? | Resultat från analyser, prov och mätningar, provvillkor, identifierad konfiguration och hantering av konstaterade avvikelser. |
Detta är ett förslag på hur verifieringen kan organiseras. Det är inte ett formulär från ISO 13850 och inte en fullständig valideringsplan. Analysens och provningens omfattning måste anpassas till funktionen, maskinen och den valda bedömningsmetoden.
PL och SIL fyller inte luckan efter en saknad funktionsbeskrivning
ISO 13850 kräver att säkerhetsrelaterade delar av styrsystemet som utför nödstoppet uppfyller relevanta krav i ISO 13849-1 och/eller IEC 62061. Standarden anger också en lägsta nivå: PLr c eller SIL 1.
En miniminivå betyder inte att nivån automatiskt räcker i varje tillämpning. Den erforderliga nivån ska bestämmas för den aktuella funktionen med hänsyn till dess syfte och tillämpliga detaljkrav.
Det räcker inte att skriva av PL e från reläets datablad. Det är funktionen som ska bedömas, inte bara en komponent. Inte heller en korrekt beräkning av hela styrkedjan ersätter valideringen.
ISO 13849-1:2023 skiljer mellan verifiering av uppnådd PL och validering genom analys och provning. Standarden kräver dessutom kontroll av att själva funktionsspecifikationen är fullständig, konsekvent och lämplig för den avsedda användningen.
Det är en viktig skillnad. Uppgiften är inte att okritiskt kontrollera om programmeraren troget genomförde ett felaktigt krav. Man måste också kontrollera att rätt krav ställdes.
Resultatet ska gälla den byggda maskinen
Verifieringen slutar inte när rörelsen upphör. Funktionen ska vara effektiv i alla driftsätt, hålla stoppet aktivt och förhindra att en startsignal återupptar de stoppade aktiviteterna. När nödstoppsdonet återställs får det inte i sig starta maskinen. Även dessa villkor måste omfattas av relevanta kontroller.
Till varje krav bör man knyta bevis som styrker funktionens verkan: rätt punkt i protokollet, mätresultat, analys samt version av schema och program.
En bilaga med namnet ”säkerhetsprov” räcker inte om det är oklart vad som provades och enligt vilket kriterium resultatet godkändes.
Provningen ska planeras utan att människor utsätts för fara. Man återskapar inte en indragning med en människa för att prova frigörandekonceptet. Säkra metoder för provning, analys och simulering väljs efter den lösning som ska verifieras.
Utebliven verifiering är inget godkänt resultat, även om formuläret bara erbjuder en ruta att kryssa i.
Efter att nödreaktionen har bekräftats återstår fortfarande den separata frågan om det förebyggande skyddet. Ett korrekt utfört E-STOP uppfyller inte kravet som den saknade skyddsanordningen eller den felaktigt utformade åtkomsten skulle ha löst.
Om protokollet aldrig frågade vad som hände med faran finns det liten anledning att känna sig trygg bara för att resultatet blev godkänt.
Ett godkänt prov utan förutbestämt kriterium visar främst att maskinen gjorde någonting när någon tryckte. Det är inte samma sak som rätt skyddsverkan.
7. Skydd är inget löfte om att det finns en knapp när något går fel
En förebyggande säkerhetsfunktion ska hindra en bestämd farlig händelse. Nödstoppsfunktionen ska möjliggöra rätt ingripande när en nödsituation redan finns eller håller på att uppstå. Båda måste konstrueras och verifieras. Den ena utför inte den andras uppgift bara för att båda kan stoppa en drivning.
En konstruktion blir inte komplett av en nödstoppsknapp när skyddet mot en förutsebar händelse saknas. Varken operatörsutbildning, hög PL eller ett prov som bara visar att rörelsen upphör kan fylla den luckan.
Själva nödingripandet kräver också mer än ett beslut om vilka utgångar som ska stängas av. Rätt stopp måste fastställas, nödvändiga skydd måste bibehållas och de åtgärder som behövs för att få situationen under kontroll måste planeras. Det är konstruktionsarbete. Människan vid maskinen ska inte behöva slutföra det när faran redan är där.
Det handlar inte om att nedvärdera E-STOP. Det handlar om att inte tillskriva funktionen ett skydd den inte ger – och att inte ta ifrån den de åtgärder som ett effektivt ingripande kan kräva.
Nödstoppsfunktionen ska hjälpa till att få en farlig situation under kontroll. Den ska inte ursäkta avsaknaden av skydd mot att situationen uppstår.
Om hela bedömningen bara kan sammanfattas med ”maskinen stannade” har stoppet kontrollerats. För människans säkerhet kan det fortfarande återstå en hel del arbete.
Maskinen stannade. Bra. Fråga nu vad som hände med faran, lasten, trycket, branden och personen som fortfarande kan sitta fast.
Källor och anmärkningar
Analysen av funktionen bygger på den polska utgåvan PN-EN ISO 13850:2016-03, som inför EN ISO 13850:2015 och ISO 13850:2015. Hänvisningarna nedan anger de bestämmelser som används i artikeln. Länkarna går till utgivarnas engelska informationssidor, inte till fritt tillgängliga kopior av standardernas fullständiga text.
[1] Funktionens syfte och kompletterande roll. ISO 13850:2015, punkterna 3.1, 3.5, 3.8 och 4.1.1.1–4.1.1.3 behandlar nödstoppsfunktionens syfte, mänsklig initiering, säkerhetsfunktioner, nödsituationer och förbudet mot att ersätta övrigt skydd. Skillnaden i artikeln gäller förebyggande skydd respektive nödingripande; den innebär inte att nödstoppet saknar säkerhetsrelaterad funktion.
[2] Ljusridå och stopp före farlig kontakt. ISO 12100:2010, punkterna 6.3.2.5.1–6.3.2.5.2, behandlar villkor för användning av avkännande skyddsutrustning, stoppmöjlighet, detekteringsfältets placering och kopplingen till styrsystemet. Standarden hänvisar till ISO 13855 för placeringen. Exemplet är ingen avståndsberäkning eller färdig dimensionering av en ljusridå.
[3] Människans möjlighet att ingripa och instruktionernas gränser. ISO 12100:2010, punkterna 5.5.2.3.3 och 6.1, behandlar faktorer som påverkar möjligheten att undvika eller begränsa skada samt förbudet mot att ersätta riktiga skyddsåtgärder med information till användaren. ISO/TR 14121-2:2012, punkt 8.4, anger nödstopp som ett exempel på en åtgärd som främst påverkar möjligheten att undvika eller begränsa skada. Det är vägledning i en teknisk rapport, inte grund för en automatisk sänkning av värden i en riskgraf. Tillgänglighet behandlas i ISO 13850:2015, punkterna 4.3.1–4.3.2.
[4] Ytterligare skyddsåtgärder och frigörande. ISO 13850:2015, standardens tillämpningsområde samt punkterna 4.1.1.2 och 4.1.1.5, behandlar bibehållen effektivitet hos andra skyddsfunktioner och möjligheten att initiera andra åtgärder än stopp. Detaljkraven för sådana åtgärder ligger utanför standardens tillämpningsområde. ISO 12100:2010, punkterna 6.3.5.2–6.3.5.3, skiljer mellan nödstopp och åtgärder för frigörande och räddning av fastklämda personer.
[5] Bibehållet skydd och stoppkategorier. ISO 13850:2015, punkterna 4.1.1.2, 4.1.1.4–4.1.1.5 och 4.1.3. Standarden nämner bland annat frigörande av personer, brandsläckning samt ett möjligt behov av fortsatt funktion hos elektromagnetiska lyftdon eller bromsar. Beskrivningen av kategori 0 och 1 innebär inte att hela utrustningen måste isoleras från samtliga energikällor.
[6] En mänsklig handling, sekvenser och verkningsområden. ISO 13850:2015, punkterna 4.1.1.1, 4.1.1.5–4.1.1.6 och 4.1.2–4.1.2.1, behandlar rätt reaktion utan ytterligare ingripande för stoppet, möjligheten till en fastställd sekvens, projektering av följderna samt villkor för områdesindelning. Analysen av samverkan mellan leverantörer är en praktisk tillämpning av dessa krav.
[7] PL, SIL, bibehållet stopp och återställning. ISO 13850:2015, punkt 4.1.5.1, hänvisar till tillämpliga krav i ISO 13849-1 och/eller IEC 62061, anger lägst PLr c eller SIL 1 och medger delade komponenter. Punkterna 4.1.1.2 och 4.1.4 behandlar funktionens tillgänglighet, bibehållet stopp och återställning som inte får starta maskinen. För en viss tillämpning måste även relevanta detaljkrav, inklusive tillämplig standard av typ C, beaktas.
[8] Funktionskrav och validering. ISO 13849-1:2023, avsnitt 8 samt punkterna 10.1.1, 10.2 och 10.4.1, behandlar verifiering av uppnådd PL, validering genom analys och provning, kontroll av specifikationens fullständighet och konsekvens samt föregående fastställande av provplan och förväntade resultat. Tabellen i artikeln är ett eget förslag för informationsstruktur, inte en fullständig valideringsplan för varje system.
[9] EU-rättsligt sammanhang. Direktiv 2006/42/EG – engelsk text i EUR-Lex, bilaga I, punkterna 1.2.4.3–1.2.4.4, samt förordning (EU) 2023/1230 – engelsk text i EUR-Lex, bilaga III, punkterna 1.2.4.3–1.2.4.4, behandlar nödstoppets kompletterande roll, undvikande av ytterligare risk, skyddande rörelser och stopp av sammankopplad utrustning vars fortsatta drift kan vara farlig. Förordningen börjar huvudsakligen tillämpas den 20 januari 2027; övergångsbestämmelser och tidpunkt anges i artiklarna 52 och 54. Hänvisningen till en standard är inte i sig ett påstående om harmonisering mot en viss rättsakt.
Exemplens karaktär och tillämpningens gränser. De beskrivna arbetsstationerna, matningslösningarna, dokumentationsposterna och uttalandena är principiella exempel. De beskriver inte en fastställd olycka och är inte räddningsinstruktioner för en viss maskin. Isärföring, tryckavlastning och reversering kräver lämplig konstruktion och bedömning av följderna. Artikeln behandlar funktionens roll och logik, inte samtliga krav i ISO 13850; standardens avsnitt 1 anger tillämpningsområde och undantag. Kontrollfrågorna och slutsatserna om felaktiga konstruktionsantaganden är ingenjörsmässiga utvecklingar av de angivna källorna.