Nieuwe CE-markering bij ingrijpende aanpassing machine?!

Transcriptie

1 Nieuwe CE-markering bij ingrijpende aanpassing machine?! Bij veel bedrijven worden regelmatig aanpassingen uitgevoerd op bestaande of zelfs nieuwe machines. Bij een ingrijpende aanpassing van een machine dient diegene die verantwoordelijk is voor de aanpassing een nieuwe CE-markering aan te brengen. De grote vraag is natuurlijk: Wanneer is er sprake van een ingrijpende aanpassing van een machine? In dit artikel komt een waargebeurde praktijkcase aan bod die de aanpassing van een bestaande loskraan betreft. Tevens wordt de zienswijze van de Inspectie SZW ten aanzien van deze case toegelicht. 4 Een bedrijf (bedrijf X) heeft een loswal voor zand en grind vervoerd door binnenvaartschepen. Elk binnenvaartschip wordt gelost met een grote elektrische loskraan met grijper. Deze kraan (afb. 1) is gebouwd in 1985, dus tien jaar voor het van kracht worden van de eerste Machinerichtlijn in De kraan is gebouwd volgens de wetten en normen van het moment van levering. Er is geen gebruiksaanwijzing en ook geen functionele beschrijving meer aanwezig. Wel is er een machinelogboek en wordt de kraan elk jaar op belasting door een externe partij gekeurd. Omdat de elektrische besturing is opgebouwd uit componenten uit de jaren 80 zijn er regelmatig storingen. Vanwege het ontbreken van reserveonderdelen wordt het steeds moeizamer om de reparaties snel en doeltreffend uit te voeren. Om deze reden heeft de gebruiker in 2012 een offerte aangevraagd voor een volledig nieuwe besturing bij een specialistisch automatiseringsbedrijf (bedrijf Y). Dit bedrijf heeft voorgesteld om de besturing (hardware/software) uit te voeren met een veiligheids-plc en componenten volgens de stand der techniek te gebruiken. Hiermee wordt dus het algemene veiligheidsniveau van de machine verhoogd. De huidige belastingkarakteristieken van de machine worden door bedrijf Y geanalyseerd en exact dezelfde niveaus worden in de nieuwe besturing overgenomen. De gebruiker (bedrijf X) maakt zelf een gebruiksaanwijzing voor de loskraan, waarin de nieuwe besturingsfuncties zijn verwerkt. Machinerichtlijn gids verwijst naar Nationale overheid Eind 2009 is de nieuwe Machinerichtlijn met nummer 2006/42/EG actief geworden. De Machinerichtlijn is in Afbeelding 1. Loskraan voor zand en grind. Deze kraan is niet de kraan uit de hierbeschreven case. (bron: Nico Vermeer, Nederland 1 op 1 in het Warenwetbesluit Machines (lees: Nederlandse wet) opgenomen en bestaat uit zo n 40 pagina s tekst. Omdat de tekst erg juridisch is opgesteld heeft de Europese Unie een heldere uitleg van 440 pagina s gemaakt (afb. 2). Deze EU gids heet: Gids voor de toepassing van Machinerichtlijn 2006/42/EG - 2de uitgave - juni 2010,. Het boekwerk is kosteloos te downloaden, zie hiervoor kader 1. In deze gids wordt het thema van aanpassing van nieuwe en gebruikte machines besproken in uitleg 72, zoals weergegeven in kader 3. De uitleg geeft duidelijk aan dat de Machinerichtlijn ook van toepassing is op machines die zijn gebaseerd op gebruikte machines die zo substantieel zijn omgevormd of omgebouwd dat zij kunnen worden beschouwd als nieuwe machines. Kortom, bij een substantiële ombouw is sprake van een (nieuwe) CE-markering op de machine. (Wil je als bedrijf zeker weten of dit het geval is dan kan contact worden gezocht met de Nationale overheid. Voor industriële machines het Ministerie van Sociale Zaken en Werkgelegenheid (SZW) verantwoordelijk. Vragen kunnen bij voorkeur schriftelijk gesteld te worden aan

2 Afbeelding 2. Nederlandstalige gids voor de toepassing van Machinerichtlijn 2006/42/EG. (bron: Europese Commissie). het volgend adres: Ministerie van Sociale Zaken en Werkgelegenheid, Directie Arbeidsomstandigheden, t.a.v. de heer/ mevrouw Directeur, Postbus 90801, 2509 LV Den Haag.) Bedrijf Y wil de vernieuwing van de kraanbesturing goed organiseren en legt daarom voornoemde case schriftelijk neer bij het Ministerie van SZW. De vraag is gesteld op de 1e dag van de maand en op de 20e dag komt het antwoord al binnen. Antwoord Nationale Overheid op praktijkcase De eerste vraag die bedrijf Y stelt luidt: Is er hier sprake van een substantiële omvorming of ombouw waardoor een nieuwe machine ontstaat die CE-gemarkeerd moet worden? Het schriftelijke antwoord van het Ministerie van Sociale Zaken, directeur Arbeidsomstandigheden op bovengenoemde praktijkcase is als volgt: - JA. De huidige machine voorziet op meerdere onderwerpen niet in de eisen die in de Machinerichtlijn wel gesteld worden. Deze punten heeft u wel nodig voor de vervanging van de elektrische installatie. Er is hier dus sprake van een substantiële wijziging. U gaat immers opnieuw bepalen wat de capaciteiten zijn van deze kraan en daar uw vervanging op aanpassen. De tweede vraag luidt: Zo ja, wie is verantwoordelijk voor de uitvoering van het CE-markeringsproces? Is dat de eigenaar van de kraan/machine of ons bedrijf als uitvoerder van de aanpassingen? De Arbeidsinspectie geeft het volgende antwoord: - Dit is afhankelijk van het detail van de opdracht die is verstrekt door de eigenaar. Als de eigenaar specifiek aangeeft hoe en waarom u een en ander moet uitvoeren en u alleen maar uitvoert wat is opgedragen dan zou het kunnen zijn dat de eigenaar wordt gezien als fabrikant. Gezien de áárd en kennis van uw bedrijf acht ik het waarschijnlijk dat in dit geval u als fabrikant wordt gezien. Uit bovenstaand antwoord van de Nederlandse Overheid valt duidelijk te lezen dat de aanpassing als ingrijpend wordt gezien. Bedrijf X of zelfs Bedrijf Y moeten toch het CE proces volgen en aan het einde een nieuwe CE-markering op de totale loskraan afgeven. Een en ander op basis van de geldende Europese EU-Richtlijnen en EN-normen. Hiermee geeft de wetgever duidelijk aan hoe ze over de aanpassing van deze bestaande loskraan denkt. Welke wijzigingen zijn nog meer ingrijpend? Bedrijf Y heeft in haar brief aan het Ministerie van SZW ook nog de volgende vraag gesteld: Stel dat de wijziging uit de case wordt gezien als niet-ingrijpend, kunt u dan aangeven wanneer er wel sprake is van een substantiële omvorming of ombouw van een kraan/ machine? Uit het antwoord van het Ministerie SZW komt naar voren dat de volgende typen aanpassingen als vuistregel door haar als substantieel worden gezien: - Als eerste de verandering van de functie en/of bedieningspositie van een machine. Denk hierbij aan wijziging van het zicht of de gevarenzone. Een andere aanpassing die als ingrijpend wordt gezien is de wijziging of toevoeging van de positie van personen of combinaties hiervan. Ook de verhoging van prestaties en/of aandrijvend vermogen moet worden gezien als ingrijpend. Verder is het veranderen van dimensies (hoogte, lengte, stabiliteit, materiaalsterkte) van de machine aanleiding tot een nieuwe CE-markering. Een voorbeeld dat expliciet wordt genoemd is het verhogen van de kraan of het verlengen van de giek. Hiervoor geldt dat slechts 0% afwijking acceptabel is. Verder wordt ook nog de aanpassing van overbrengingen met verandering van de outputsnelheid, hefbomen en krachten tot de ingrijpende aanpassing. Over het algemeen is het ondoenlijk om voor alle aanpassingen exact aan te geven of er sprake is van een ingrijpende of niet-ingrijpende aanpassing. Het beste is het om bij Nederlandstalige gids kosteloos downloaden Deze Nederlandse versie van de Gids voor de toepassing van Machinerichtlijn 2006/42/EG op sinds 25 februari 2011 beschikbaar gekomen. Hij is bestemd voor alle partijen die betrokken zijn bij de toepassing van de Machinerichtlijn, zoals fabrikanten, importeurs en distributeurs van machines en functionarissen van aangemelde instanties en markttoezichthouders. Er wordt met nadruk op gewezen dat alleen de Machinerichtlijn en de teksten ter omzetting ervan in nationaal recht, juridisch bindend zijn. De gids is kosteloos in het Nederlands en ook het Engels te downloaden via de volgende weblink: 5

3 6 Mikrocentrum organiseert op 6 november 2012 de themadag Ingrijpend aanpassen van producten/ machines, CE of toch niet?! Bij de meeste bedrijven worden wel eens producten of machines aangepast aan veranderde productie- of bedrijfservaringen. De grote vraag is nu of bij dergelijke aanpassingen, diegene die aanpast wordt gezien als fabrikant en het product (of de machine) een nieuwe CE-markering dient te krijgen. Deze themadag zal duidelijk maken hoe volgens de verschillende Europese Richtlijnen omgegaan moet worden met aanpassingen van producten/machines. Tevens wordt ook het standpunt van de Nederlandse overheid ten aanzien van de ingrijpende aanpassing weergegeven. Informatie: twijfel niet in te halen en de case voor te leggen aan het Ministerie van SZW. Belangrijk is om in alle gevallen zelf een onderzoek te doen naar de impact van een verandering en de conclusie vast te leggen in het machinedossier. Aanpassingen en de stand der techniek Nadat is vastgesteld of er sprake is van een ingrijpende aanpassing of niet, dient ook te worden afgesproken aan welke technische eisen de machine na de aanpassing moet voldoen. Grote vraag is of bij een dergelijk omvorming of ombouw de normen mogen worden gehanteerd die geldig waren ten tijde van de nieuwbouw? Ten aanzien van de voornoemde case is het Ministerie van SZW van mening dat wat er nu wordt gedaan aan de kraan moet voldoen aan de huidige stand der techniek. Immers de substantiële wijziging maakt u fabrikant op het moment van wijziging. Het is verboden te post- of te antedateren op de stukken die bij een machine worden meegeleverd door de fabrikant (Verklaring van overeenstemming, gebruiksaanwijzing, etc.) Dit impliceert dat u dus de hedendaagse richtlijnen en normen dient te hanteren. Om te beoordelen welke EN-normen van toepassing zijn op een machine heeft het Nederlands normalisatie instituut (NEN) de gids ADV_9 gemaakt die kosteloos is te downloaden op nl Conclusie Uit de hierboven besproken praktijkcase blijkt dat de Nederlandse overheid kan worden verzocht om een uitspraak te doen in een specifiek praktijkgeval. Het is van belang om bij twijfel niet in Item 72 uit Machinerichtlijn gids De machinerichtlijn is ook van toepassing op machines die zijn gebaseerd op gebruikte machines die zo substantieel zijn omgevormd of omgebouwd dat zij kunnen worden beschouwd als nieuwe machines. De vraag doet zich voor wanneer de omvorming van een machine wordt beschouwd als de bouw van een nieuwe machine die onder de machinerichtlijn valt. Het is niet mogelijk exacte criteria aan te geven om die vraag van geval tot geval te beantwoorden. Degene die een dergelijke omgebouwde machine in de handel brengt, wordt daarom aangeraden bij twijfel de desbetreffende nationale autoriteiten te raadplegen. te halen en de case uitgebreid te beschrijven en dan schriftelijk voor te leggen aan het Ministerie van SZW. Ze zijn dan verplicht om een eenduidig antwoord te geven. Het betreffende thema wordt in november nog uitgebreid besproken bij de themadag genoemd in kader 3. Als er sprake is van een ingrijpende aanpassing ontstaat vaak onduidelijkheid over welke partij de CE-markering gaat aanbrengen. De projectleider van de machinegebruiker is druk bezig met het in juiste banen leiden van zijn project en denkt niet aan CE-markering. De bouwer van de nieuwe besturing heeft geen invloed op de mechanische aspecten en wil het CE-traject niet voor zijn rekening nemen. Vaak wordt dit thema veel te laat aangesproken met alle gevolgen van dien. Door vroegtijdig in het project een CE-verantwoordelijke aan te wijzen kan een dergelijke CE-stoelendans worden voorkomen. Daarnaast is het belangrijk om te weten dat de stand der techniek is vastgelegd in Europese EN-normen. Het is dan ook erg nuttig om voorafgaand aan de opdracht voor de aanpassing vast te leggen aan welke normen het geheel moet gaan voldoen. Ing. Nick de With is senior consultant bij Fusacon B.V., docent bij NEN en lid van de normcommissies NEC 44 en IEC TC44/WG7. Stop! Kijk niet verder dan EAO voor noodstopschakelaars EAO, de expert in Mens Machine Interfaces, biedt een zeer ruime keuze aan noodstopknoppen en stopknoppen. Inbouwdiepte vanaf slechts 13,5 mm Foolproof noodstop uitvoeringen, rood-geel, volgens NEN-EN-ISO , NEN-EN-ISO , DIN-EN-ISO en EN60204 Sleutel- of draaiontgrendeling Stopknop uitvoeringen met afwijkende kleur voor remote control Duidelijk ontgrendelsymbool volgens EN Verkrijgbaar met LED-verlichting Your expert partner in Human Machine Interfaces 10062_Dtp_90x123.indd :00:46

4 AKTIEVE VEILIGHEID MVK METALL SAFETY Optimale beveiliging voor mens en machine MVK Metaal Safety maakt veilige installaties eenvoudig en stekkerbaar. SENSOR SOLUTIONS AND SYSTEMS For all areas of the automation industry As a global player, we stand for comprehensive system expertise, continuous innovation, the highest quality, and the greatest reliability. Balluff means technological variety and first-class service. Our 2450 worldwide employees are working to ensure this. Systems and Service Industrial Networking and Connectivity Industrial Identification Object Detection Linear Position Sensing and Measurement Condition Monitioring and Fluid Sensors Accessories Phone Balluff B.V. Europalaan 6a, 5232 BC S-HERTOGENBOSCH Image_105x297_2013_1_E_NL.indd 1 4/10/2013 9:28:49 AM

5 Zijn standaardcomponenten inzetbaar voor veiligheidsfuncties? Sinds de komst van de veiligheidsnormen NEN-EN-ISO en NEN-EN onder de Machinerichtlijn hebben steeds meer machinefabrikanten vragen over het gebruik van standaardsensoren in veiligheidsfuncties. Sensorproducenten, waaronder Sick, noteren meestal uitsluitend een MTTFd- of MTTF-waarde. Is deze waarde alleen voldoende voor een beslissing om standaardsensoren te gebruiken in een veiligheidsfunctie? 8 NEN-EN vs NEN-EN-ISO NEN-EN beschrijft de structurele maatregelen (de architecturen) ingedeeld in categorieën; in NEN-EN- ISO zijn dezelfde categorieën opgenomen. Als aanvulling op de structurele criteria ligt de nadruk van de nieuwe normen vooral op betrouwbaarheid van de componenten, diagnose en maatregelen om fouten te voorkomen. In het kader De termen toegelicht wordt dit nader verklaard. De genoemde items zijn gericht op NEN- EN-ISO met het Performance Level (PL), maar zijn eveneens geldig als NEN- EN wordt toegepast. Waarom geven de producenten geen parameters op voor bijvoorbeeld Performance Level of Safety Integrity Level voor deze standaardonderdelen? Is het sowieso toegestaan om standaardonderdelen te gebruiken voor veiligheidsfuncties? Het antwoord op die vraag luidt: in principe wel. Enerzijds zorgen de veiligheidsnormen NEN-EN- ISO en NEN-EN voor grotere flexibiliteit bij de machinefabrikant. Deze kan standaardcomponenten gebruiken in veiligheidscircuits om materiaalkosten te besparen. Anderzijds hebben systeemontwerpers meer werk te verrichten bij de beoordeling van de betrouwbaarheid en de effecten van de optimalisatiemaatregelen. De betrouwbaarheidswaarde MTTF (Mean Time To Failure: betrouwbaarheid van onderdelen in relatie tot het optreden van een fout) is een van de factoren bij een dergelijke beoordeling. Steeds meer machinefabrikanten vragen om deze waarde, zodat ze standaardcomponenten kunnen gebruiken in veiligheidsfuncties. Maar de MTTF-waarde is slechts één onderdeel van de gegevens waarmee rekening moet worden gehouden in veiligheidsfuncties. Veiligheidsfunctie Een veiligheidsfunctie wordt uitgevoerd door een veiligheidssysteem om een veilige situatie van een machine en/of systeem te bereiken of te behouden. Een fout in de veiligheidsfunctie resulteert onmiddellijk in een verhoging van het risico. De veiligheidsfunctie wordt bepaald in de gevaren- en risicoanalyse en moet minimaal de volgende basisitems bevatten: - detectie; - logica; - beweging; - tijdslimieten (indien nodig). Deze worden in de NEN-EN-ISO weergegeven onder de naam subsystemen. Bij het ontwerpen van subsystemen moet rekening worden gehouden met: Afbeelding 1. Het bepalen van het vereiste Performance Level volgens NEN-EN ISO

6 - de hard- en softwarestructuur (architectuur); - de betrouwbaarheid van de componenten, in verband met veiligheid; - de effectiviteit van foutdetectiemechanismen; - de maatregelen die worden genomen ter bestrijding van fouten met een gemeenschappelijke oorzaak; - het ontwerpproces van hardware en software; - de geschiktheid voor de werkbelasting en de omgevingsomstandigheden. De subsystemen, bijvoorbeeld veiligheidslichtschermen of veiligheidscontrollers, worden vastgesteld voor de berekening en evaluatie van een veiligheidsfunctie. Voor deze subsystemen wordt de Performance Level (PL) volgens NEN- EN-ISO dan wel het Safety Integrity Level (SILcl) volgens NEN-EN bepaald (afbeelding 1). Voor foutdetectie van vaak elektromechanische componenten in het veiligheidscircuit, zoals motorschakelaars en vergrendelingen maar ook bijvoorbeeld ventielen, zijn aanvullende maatregelen door middel van een overkoepelend besturingssysteem vereist. Indien optische sensoren worden gebruikt moet niet alleen rekening worden gehouden met de functionele veiligheidsaspecten, maar ook met de optische kenmerken die de vereiste detectiecapaciteit van de sensor bepalen. Deze kenmerken zijn variabel, afhankelijk van het feit of de veiligheidsfunctie is bedoeld voor de detectie van personen of objecten. Safety Performance Level In NEN-EN ISO wordt de risicografiek uit afbeelding 1 gebruikt om het vereiste Performance Level (PLr; de r staat voor required ) te bepalen. De systeemontwerper beoordeelt eerst de gevaren van de machine zonder beschermende maatregelen op basis van: de ernst van het letsel; de frequentie en/of de duur van het gevaar; de mogelijkheid om het gevaar te vermijden of de schade/het letsel te beperken. Dit resulteert in een Performance Level PLr = a t/m e voor de vereiste kwaliteit van de beschermende maatregelen, waarbij e staat voor de grootste risicovermindering. De NEN-EN ISO geeft een leidraad om te bepalen of de technische beschermingsmaatregel het vereiste Safety Performance Level (PLr) kan opleveren. In de norm staat ook een staafdiagram dat een vereenvoudigd overzicht geeft van de vereiste criteria (afbeelding 2). Niet getoond worden: de eisen voor het ontwerpproces, de toepassingsomstandigheden en de maatregelen tegen de systematische fouten (zie kader De termen toegelicht ). Maalmachine Als toelichting op de theorie volgt nu een praktijkcase die het bewaken van de veiligheidsdeur op een maalmachine behandelt (afbeelding 3). Het gebruik van standaardsensoren voor veiligheidsfuncties wordt aan de hand van verschillende oplossingen beoordeeld: - Gebruik van één veilige magneetschakelaar. - Gebruik van één standaard inductieve sensor. - Gebruik van twee identieke standaard inductieve sensoren. - Gebruik van twee verschillende standaardsensoren. De veiligheidsdeur van de maalmachine wordt viermaal per uur geopend en gesloten. De Zes stappen Guidelines Safe Machinery van Sick beschrijft in zes stappen welke wetten, normen en regels de gebruiker moet naleven en wat de mogelijke beschermende maatregelen zijn. Een deel van stap 3 is het bepalen van de Safety Performance Level. Guidelines Safe Machinery, Six steps to a safe machine, EU versie, deel Nr , Noord- Amerikaanse versie, deel Nr zijn te downloaden en te bestellen via 9 Afbeelding 2. Het bepalen van het Perfomance Level van een subsysteem volgens de vereenvoudigde methode van de NEN-EN ISO Afbeelding 3. Is het mogelijk een veiligheidsdeurdetectie voor een maalmachine te verwezenlijken met standaardcomponenten?

7 10 veiligheidsfunctie moet ervoor zorgen dat de motor van de maalmachine onmiddellijk uitschakelt als de deur wordt geopend. De risicobeoordeling heeft geleid tot het vereiste veiligheidsniveau PLr = d. Veilige magneetschakelaar Een benaderingsschakelaar voor veiligheidsfuncties wordt gebruikt als sensor. Het veiligheidssysteem bestaat uit de veiligheidssensor, een logische eenheid en de motorschakelaars waarmee de gevaarlijke beweging wordt gestopt. Het bereikte PL voor elk van deze subsystemen wordt vastgesteld. De fabrikant van de componenten zorgt voor de benodigde gegevens en de normen zoals toegepast voor de gebruikte componenten, inclusief beveiligingscomponenten (afbeelding 4). Zoals blijkt uit afbeelding 4 geeft de fabrikant geen Performance Level (PL) voor alle gebruikte componenten. Om de Performance Level vast te stellen, moet de gebruiker een beoordeling uitvoeren van de structuur (de categorie), de diagnose en de testmaatregelen (DC) zoals deze zijn uitgevoerd door de logische eenheid, en de maatregelen die zijn genomen om fouten met een gemeenschappelijke oorzaak (CCF) te bestrijden. Resultaat De sensor moet zodanig op de machine worden geplaatst dat niemand de beschermingsmaatregel kan omzeilen (met andere woorden: op een sabotagebestendige plaats). Het bij deze oplossing vastgestelde veiligheidsniveau is PL = e, dat zelfs hoger is dan het vereiste niveau PLr = d. De veiligheidsfunctie kan voor beschermingsdoeleinden worden gebruikt. Standaard inductieve sensor Er wordt één standaard inductieve sensor gebruikt voor de veiligheidsfunctie (afbeelding 5). De fabrikant geeft een MTTFd van 83 jaar voor de sensor (MTTFd = Hoog volgens NEN-EN ISO ). De sensor is ontwikkeld in overeenstemming met de productnorm NEN-EN-IEC Daardoor kan worden aangenomen dat de sensor overeenstemt met de basisveiligheidsprincipes voor dit specifieke type (zie De termen toegelicht ). Deze standaardsensor is meestal voorzien van complexe elektronische onderdelen (bijvoorbeeld μc, ASIC, transistorreeksen). De fabrikant specificeert geen faalwijze ingeval van een interne fout. Dit betekent dat deze sensor geen component volgens beproefde veiligheidsprincipes is, zoals gedefinieerd in de NEN-EN ISO het is gewoon een standaardcomponent (zie De termen toegelicht ). Deze beperking houdt in dat de veiligheidsbeoordeling niet hoger kan zijn dan categorie B of Performance Level b, ervan uitgaande dat het component de in de toepassing te verwachten omgevingsinvloeden kan weerstaan (zie De termen toegelicht ). Resultaat Met één standaard inductieve sensor wordt de vereiste Performance Level d niet bereikt, ondanks de hoge MTTFd-waarde van de sensor (afbeelding 2). Met een extra, extern elektrisch testmechanisme kunnen enkele veiligheidsgerelateerde fouten worden gedetecteerd. Het is echter onmogelijk om een complete foutendekking (DC) te krijgen, omdat de interne structuur en faalwijzen in de Afbeelding 4. De beoordeling van het veiligheidssysteem met een veilige magneetschakelaar conform NEN-EN ISO en de relevante productnormen.

8 De termen toegelicht Voor de veiligheidsfuncties van categorie B en hoger is het naleven van de basisveiligheidsprincipes verplicht. Deze principes omvatten algemeen erkende, goede technische praktijken die de componentenfabrikant moet opvolgen, zoals beschreven in productnormen (omgevingsomstandigheden, werkingsprincipes enzovoort). Tijdens de ontwikkeling en productie worden maatregelen getroffen om systematische fouten te beheersen. De gebruiker heeft ook bepaalde verplichtingen, zoals het voldoen aan de specificaties en zorgen voor de juiste bevestiging (zie NEN-EN-ISO , paragraaf A.2, B.2, C.2 en D.2). U moet een component zo kiezen dat deze correct functioneert onder alle verwachte toepassingsomstandigheden en omgevingsinvloeden (bijvoorbeeld temperatuur, vochtigheid, trillingen, elektromagnetische interferentie, optische storing). Of het moet zo geregeld zijn dat de machine in de veilige stand gaat of blijft als het component niet juist functioneert. Voor categorie 1 en hoger is het naleven van beproefde veiligheidsprincipes verplicht. Dit verwijst naar principes die het mogelijk maken om bepaalde fouten uit te sluiten door het gebruik of de configuratie van componenten. Bijvoorbeeld door het gebruik van componenten met een gedefinieerde (bekende) faalwijze of met positief geleide contacten, of door technieken zoals redundantie en diversiteit (NEN-EN-ISO , paragraaf A.3 en D.3). Het gebruik van beproefde componenten is een voorwaarde voor categorie 1. Beproefde componenten zijn die componenten die in het verleden op grote schaal met succes zijn gebruikt voor specifieke beveiligingstoepassingen, of die zijn gemaakt en getoetst aan de hand van theorieën die hun geschiktheid en betrouwbaarheid voor beveiligingstoepassingen aantonen. Voorbeelden hiervan zijn opgenomen in de NEN-EN-ISO , paragraaf B.4 en D.4. Sommige componenten zijn niet opgenomen in deze definitie, zoals standaard-plc s of standaard foto-elektrische schakelaars. De MTTFd-waarde (Mean Time To Dangerous Failure) MTTFd (Mean Time To Dangerous Failure) is de verwachte betrouwbaarheid van componenten in relatie tot het optreden van een gevaarlijke fout, uitgedrukt in jaren. Het is een statistische waarde die wordt bepaald door levensduurtests of betrouwbaarheidsvoorspellingen op basis van de faalkans van de gebruikte componenten. MTTFd heeft niets te maken met gegarandeerde levensduur of storingsvrije periode. Een gevaarlijke fout in een component van het veiligheidsgerelateerde gedeelte van het besturingssysteem, kan ertoe leiden dat een veiligheidsfunctie niet naar behoren wordt uitgevoerd. Hierdoor is een potentieel gevaar voor het bedienend personeel niet uitgesloten. In een dergelijk geval is het bijvoorbeeld mogelijk dat de machine niet stopt als de veiligheidsinrichting wordt geopend. MTTFd is slechts één van de factoren die de kwaliteit van de gebruikte componenten beschrijft. Componenten waarvoor uitsluitend een MTTFd of B 10d waarde wordt vermeld en die voldoen aan de basisveiligheidsprincipes, kunnen in subsystemen worden gebruikt. De MTTFd waarde is hoger dan of gelijk aan de MTTF (Mean Time To Failure) en houdt uitsluitend rekening met fouten die zouden leiden tot een gevaarlijke storing. Als de componentenfabrikant alleen de MTTF-waarde noteert, dan moeten gebruikers ofwel zelf bepalen welk deel van de fouten in hun toepassing gevaarlijk zijn, óf ze moeten de fabrikant raadplegen. Het is ook mogelijk om zowel de MTTF-waarde als de MTTFd-waarde toe te passen. In de bijlagen C en D van de NEN-EN-ISO staan andere benaderingen beschreven. Systematische fouten zijn fouten die kunnen worden teruggevoerd naar fouten die tijdens een specifieke toestand, belasting of invoeromstandigheid zijn ontstaan. Deze fouten zijn het gevolg van vergissingen die zijn gemaakt tijdens de ontwikkeling, de fabricage, de bediening of het onderhoud. De B 10d waarde is een statistische waarde voor onderdelen die onderhevig zijn aan slijtage. De waarde geeft het gemiddeld aantal schakelingen aan waarop 10% van de onderdelen het gevaar loopt om gevaarlijk te falen. De overeenkomstige MTTFd-waarde wordt berekend uit de B 10d waarde en de schakelcycli van het onderdeel (zie NEN-EN-ISO ). NEN-EN-ISO beschrijft de maatregelen die nodig zijn om fouten met een gemeenschappelijke oorzaak (CCF: common cause failures) aan te pakken, zoals: - fysieke scheiding tussen de signaalpaden; - diversiteit; - beveiliging tegen overspanning; - integratie van de resultaten van een FMEA (faalwijzen- en gevolgenanalyse) in het ontwikkelingsproces; - beveiliging tegen elektromagnetische interferentie; - beveiliging tegen alle relevante omgevingsinvloeden. In de norm wordt een puntensysteem gehanteerd om de maatregelen te evalueren. DC (Diagnostic Coverage) is de capaciteit van het systeem om interne gevaarlijke fouten te detecteren of identificeren. De DC wordt berekend uit de verhouding tussen het aantal gedetecteerde gevaarlijke fouten gedeeld door de som van zowel de nietgedetecteerde als wel-gedetecteerde gevaarlijke fouten. PFHd; Probability of a Dangerous Failure per Hour ofwel faalkans per uur. Wordt in afbeelding weergegeven ter bepaling van de Performance level. In bijlage K van de NEN-EN-ISO wordt deze grafiek numeriek met behulp van de PFHd weergegeven. Berekeningsprogramma s zoals Systema werken met deze waarden. Deze waarde komt overeen met de PFHd zoals gebruikt in de NEN- EN

9 Afbeelding 5. De beoordeling van het veiligheidssysteem met een standaard inductieve sensor conform NEN-EN ISO en de relevante productnormen. 12 sensor onbekend zijn. Het testmechanisme zou de veiligheidsbeoordeling dan ook niet veranderen. Twee standaard inductieve sensoren Nu worden twee dezelfde sensoren als bij de vorige oplossing gebruikt als een tweekanaals ingangscircuit (afbeelding 6). De logische eenheid zorgt voor de diagnose en controleert of de ingangssignalen naar het ingangscircuit plausibel zijn (beide kanalen moet altijd een identiek signaalniveau hebben). Deze tweekanaals architectuur, met plausibiliteitscontrole door de logische eenheid, biedt een betere foutendekking dan de oplossing met één kanaal. De controle wordt iedere keer uitgevoerd als de veiligheidsdeur wordt geopend en gesloten (ongeveer viermaal per uur). Aangezien er geen dynamische test en geen detectie van kortsluiting tussen de twee ingangskanalen is, bereikt het subsysteem van sensoren samen met de logische eenheid een gemiddelde foutendekking (DC 90%). Resultaat Met de architectuur uit categorie 3 en de gemiddelde DC kan het mogelijk zijn om PLd te bereiken (afbeelding 2). Er moeten echter Afbeelding 6. De beoordeling van het veiligheidssysteem met twee identieke standaardsensoren in een tweekanaals ingangscircuit.

10 Afbeelding 7. De beoordeling van het veiligheidssysteem met twee verschillende standaardsensoren als een tweekanaals ingangscircuit. maatregelen worden genomen om het optreden van onbekende fouten in beide kanalen van het ingangscircuit op hetzelfde tijdstip te voorkomen. Dat kan namelijk leiden tot het falen van de veiligheidsfunctie (zie De termen toegelicht ). Bijvoorbeeld: overspanningspieken op de sensorlijnen als gevolg van hoge inductieve schakelbelastingen in de buurt kunnen een gelijktijdige vernieling van de schakeluitgangen van de sensoren veroorzaken (beide kanalen moeten op hoog niveau blijven). Als de CCF-maatregelen niet voldoende zijn of als de lokale omstandigheden niet kunnen worden beoordeeld, dan moet de tweekanaals architectuur worden beoordeeld alsof het een eenkanaals architectuur is. In dat geval is, net als voor oplossing met één standaard inductieve sensor, categorie B de hoogst haalbare, omdat de combinatie van twee standaardsensoren evenmin kan worden beschouwd als beproefd veiligheidsprincipe. Het vereiste Performance Level d kan worden bereikt met deze twee dezelfde standaard inductieve sensoren. Daarbij moet de gebruiker de toepassingsomstandigheden kennen en de effecten van falen beoordelen. Twee verschillende standaardsensoren In tegenstelling tot bij het gebruik van twee identieke standaardsensoren, wordt met twee verschillende standaardsensoren de krachtige techniek van meervoudige redundantie gebruikt. Twee verschillende typen standaardsensoren met verschillende interne structuren en met inverse uitgangsniveaus worden door de logische eenheid op basis van twee kanalen gecontroleerd (afbeelding 7). De MTTFd-waarden van de twee sensoren samen geeft een hoge totale MTTFd-waarde. Het ingangscircuit heeft een tweekanaals architectuur met plausibiliteitscontrole en kortsluitdetectie door 13 Voordelen van beveiligingscomponenten - Beveiligingscomponenten worden door de fabrikant ontwikkeld en geproduceerd volgens de laatste technologische ontwikkelingen en volgens de geldende veiligheidsnormen. Ook wordt rekening gehouden met eventuele factoren in de toepassing die van invloed kunnen zijn op de veiligheid. - De faalwijze van een veiligheidsonderdeel wordt door de fabrikant gedefinieerd. - Voor veel soorten veiligheidsonderdelen laat de fabrikant een EGprototypetest uitvoeren door een erkende instantie (zoals TÜV of IFA). - De fabrikant besteedt bijzondere aandacht aan de manier waarop de producten in de praktijk presteren. - De veiligheidsparameters voor het evalueren van de veiligheidscircuits, zoals PL, SIL, PFHd, B 10d, en de categorie worden door de fabrikant geleverd.

11 de logische eenheid. De foutendekking verbetert tot 99% (DC = hoog ) en de diversiteit draagt sterk bij aan het voorkomen van CCF. Resultaat Met de categorie 4-architectuur, DC = hoog, adequate maatregelen om CCF te voorkomen, en MTTFd = hoog, is het zelfs mogelijk om een totaal van PL = e te bereiken (afbeelding 2). Voor- en nadelen Het is mogelijk om materiaalkosten te besparen door standaardcomponenten in veiligheidstoepassingen te gebruiken. Gaat het echter om bescherming van personen, dan moet de gebruiker zeer goed op de hoogte zijn van alle toepassingsomstandigheden. Ook moet hij weten welke maatregelen moeten worden genomen en moet hij kennis hebben van veiligheidsmechanismen. Met andere woorden: hij moet weten of een component geschikt is voor gebruik in veiligheidscircuits. Als er slechts één standaardsensor wordt gebruikt in toepassingen met PL = c of hoger, dan moet de gebruiker zelfs kennis hebben van de interne foutdetectiemechanismen. En dat is meestal niet realistisch ingeval van complexe componenten. Basisregel is dat het niet is toegestaan om standaard optische sensoren te gebruiken voor het detecteren van personen, tenzij een speciale procedure voor de beoordeling van de conformiteit volgens de Machine Richtlijn wordt opgevolgd. Dit geldt voor zowel fabrikanten als gebruikers. Fabrikanten werken niet volgens de normen die relevant zijn voor veiligheidstoepassingen, wanneer ze standaardonderdelen produceren. Ook hoeven extra veiligheidsparameters (PL, SIL, PFHd, DC...) niet te worden gespecificeerd, zoals wel het geval is voor beveiligingscomponenten. Die moeten namelijk voldoen aan de Machinerichtlijn. Conclusie De voorbeelden illustreren de belangrijkste basisaspecten van het gebruik van standaardsensoren voor veiligheidsfuncties. Zelfs met een goede (hoge) MTTFd-waarde wordt slechts aan een klein deel van de vereiste criteria en maatregelen voldaan. Optimalisatie en andere maatregelen voor het gebruik van standaardsensoren, zoals maatregelen die tests ondersteunen, of maatregelen die het gebruik vergemakkelijken door fouten uit te sluiten, zijn mogelijk en worden nu al in praktijk gebracht. Fabrikanten van onderdelen, zoals Sick, en bevoegde instanties zoals de Duitse IFA (voorheen BGIA) of TÜV, zijn beschikbaar voor advies en begeleiding. Machinefabrikanten hebben zeker de mogelijkheid om standaardonderdelen te gebruiken voor veiligheidsfuncties. Het verstrekken van gedocumenteerd bewijs van de geschiktheid van alle onderdelen die worden gebruikt voor veiligheidsfuncties, behoort tot de verplichtingen van de machinefabrikant. Het is duidelijk dat het verstrekken van dit gedocumenteerde bewijs van geschiktheid veel moeilijker is dan bij standaardcomponenten INDUSTRIËLE VEILIGHEID Betrouwbaar maatwerk in risicobeheersing en veiligheid U weet als geen ander dat veiligheid een direct effect heeft op uw bedrijf. Toch kan het u aan capaciteit, tijd of kennis ontbreken om veiligheid binnen uw organisatie goed vorm te geven. Kom in beweging met de veiligheidsspecialisten van TCPM arbeidsveiligheid (o.a. arbo-expertise) productveiligheid (o.a. CE-markering) veiligheidsmanagement (o.a. risicomanagement) Kijk op voor meer informatie. TCPM is een uniek ingenieurs & adviseursbureau, werkzaam in de sectoren Oil & Gas, Marine & Offshore, Food, Pharma en Capital Goods. Vanuit onze zes vestigingen bieden wij industriële bedrijven in heel Nederland de beste veiligheidsoplossingen! Voor verdere informatie: +31 (0)

12 FUSACON Uw KennisPartner! 1 VRAAG 2 VRAAG 3 VRAAG Welke richtlijnen en normen zijn van toepassing op uw machine en/of productielijn? Heeft u ook moeite met de implementatie van alle wettelijke eisen? Denkt men binnen uw bedrijf ook verschillend over machineveiligheid? FUSACON kan u hierbij helpen! Functional Safety Consultants Nederland is een in Nederland gevestigde internationaal opererende onderneming. Zij levert ondersteuning aan producerende bedrijven, machinebouwers, contractors en overheden op het gebied van functionele veiligheid (PL/SIL) en machineveiligheid (CE). Steeds meer organisaties gebruiken onze expertise, vanwege de praktijkgerichte aanpak en onze jarenlange ervaring. Een aantal van onze adviseurs zijn door TÜV gecertificeerd als Functional Safety Engineer. Voor meer informatie: Oplossingen voor machineveiligheid Noodstopschakelaars met trekkoord of drukknop Veiligheidseindschakelaars Veiligheidsdeurschakelaars Veiligheidssensoren Veiligheidscontrollers en veiligheidrelais Programmeerbare veiligheidssystemen Servosystemen en frequentieregelaars met ingebouwde veiligheid...standalone of geïntegreerd in uw machinenetwerk Neem contact op met Omron voor meer informatie: Tel. +31 (0) omron-nl@eu.omron.com industrial.omron.nl/safety

13 Bewust afwijken van normen, mag dat zomaar? We moeten voldoen aan de IEC , is een veelgehoorde kreet. Wanneer we doorvragen waarom, is het antwoord vaak: nou, omdat het moet of omdat iedereen het zo doet. Maar is het nu wettelijk verplicht een norm toe te passen, of mag er ook van worden afgeweken? Dit is een vraag die opkomt wanneer men zich bezighoudt met machineveiligheid, de normen bieden handvatten maar soms ook technische uitdagingen en dat is soms lichtzinnig uitgedrukt. In dit artikel wordt toegelicht wat het nut is van het gebruik van normen en wat consequenties zijn van het wel of niet toepassen ervan. 16 Even in het kort: de Europese richtlijn, ook al doet hij anders vermoeden, is de wet. Niet helemaal, een richtlijn moet eerst worden opgenomen in de nationale wetgeving, dan wordt het de wet. Bijvoorbeeld: de Machinerichtlijn is in Nederland opgenomen in het Warenwetbesluit machines. Dit is praktisch een kopie van de richtlijn, ofwel kunnen we zeggen dat de Machinerichtlijn de wet is. Dat is de reden waarom er vaak gesproken wordt over de Machinerichtlijn in algemene zin en niet zozeer over het Warenwetbesluit. De richtlijn geeft dus geen richting aan, maar is normstellend. Daarentegen is een norm niet normstellend maar geeft een richting aan. De wetgeving beschrijft de verplichte essentiële veiligheiden gezondheidseisen waaraan in de EU in de handel gebrachte machines moeten voldoen; een norm mag u volgen, maar het hoeft niet. Volgt u het nog? Een norm is ontwikkeld om aan één of meerdere essentiële eisen uit de richtlijn te voldoen. Normen geven min of meer technische oplossingen aan voor uitdagingen die in de Machinerichtlijn worden gegeven. De relatie is als volgt: de richtlijn vormt een kader waarin voor de ontwerper van een machine een bepaalde ruimte zit en waarmee technische vooruitgang en innovatie niet worden belemmerd. Deze ruimte is noodzakelijk omdat een richtlijn niet zomaar herschreven en aangepast kan worden. Er zijn momenteel 27 lidstaten die hierover moeten beslissen. Ter illustratie, de oude Machinerichtlijn is van kracht geworden in 1995 en de huidige Machinerichtlijn 2006/42/EG op 29 december Daar zit (bijna) een periode van 15 jaar tussen... Kader en invulling De richtlijn bakent de grenzen af waarbinnen de ontwerper zijn speelruimte heeft. In beginsel is elke oplossing goed, als hij maar voldoet aan deze eisen. De eisen voor het ontwerp staan beschreven in de zogenaamde bijlage I: essentiële veiligheid- en gezondheidseisen. De vraag luidt vooral: Hoe weet de ontwerper dat wat hij heeft ontworpen ook daadwerkelijk correct en veilig is? Omdat de richtlijn een kader is, zijn de eisen globaal van aard. Wanneer we vragen wat de kleur van de noodstop moet zijn, zal iedereen zonder aarzelen zeggen dat dat rood met geel moet zijn, correct? Maar waar staat dat? De Machinerichtlijn geeft het volgende aan omtrent de noodstop: bijlage I, artikel , 3e streepje: - De inrichting moet: duidelijk herkenbare, goed zichtbare en snel bereikbare bedieningsorganen hebben. Over kleuren wordt niet gesproken! De norm, specifiek opgesteld voor de noodstoppen, de ISO 13850, zegt hierover het volgende: artikel 4.4.2: - Het bedieningsorgaan van de noodstopvoorziening moet ROOD gekleurd zijn. Indien achter het bedieningsorgaan een achtergrond aanwezig is en indien dit uitvoerbaar is, moet de achtergrond GEEL gekleurd zijn. De norm geeft ons dus duidelijk de richting voor wat betreft de keuze van de kleur. Dat maakt het voor de ontwerper gemakkelijker: hij hoeft alleen maar de norm te volgen in plaats van het zelf bedenken van de oplossing dat de noodstopinrichting duidelijk herkenbaar moet zijn. Rood/geel is bovendien algemeen geaccepteerd en wordt door vrijwel iedereen geassocieerd met gevaar of nood. De essentiële eisen zijn dus dwingend, maar de ontwerper mag zelf bepalen hoe hij deze invult. De toepassing van de normen is volledig vrijwillig. Voordelen van normen Een belangrijk voordeel van het gebruik van normen is reeds aangegeven: het betreft het aanreiken van een - algemeen aanvaarde - oplossing voor een bepaald gevaargebied, wat de Machinerichtlijn onderstreept. Een ander voordeel van het volgen van de normen ligt in het juridische (bewijs)vermoeden van overeenstemming. Op het moment van het volgen van een norm die geharmoniseerd is, hetgeen betekent dat deze officieel is gekoppeld aan één of meerdere esentiële eisen van de Machinerichtlijn, ontstaat er een vermoeden dat er wordt voldaan aan deze eisen. Ofwel op het moment dat het misgaat, kan hiermee worden aangetoond dat de ontwerper er alles aan gedaan heeft om op dat punt de eisen zo goed mogelijk in te vullen. Een norm geeft: - De stand der techniek aan - En is daarmee een technisch hulpmiddel voor de fabrikant. Valkuilen van normen Is het gebruik van een norm zo heilig dat het eigen verstand aan de kant gezet kan worden? Nee, zo makkelijk is het nu ook weer niet. Veiligheid is en blijft een punt waarbij de ontwerper altijd zijn GAVE (gezond agrarisch verstand) moet blijven gebruiken, ook al zijn er honderden normen. De Machinerichtlijn eist dat de ontwerper een risicoanalyse uitvoert (Machinerichtlijn Bijlage I, artikel 1.1) en op basis van deze analyse dient

14 hij of zij de maatregelen te realiseren. Een veel voorkomende fout wordt gemaakt bij het bepalen van het niveau van betrouwbaarheid van een veiligheidsfunctie. Normen geven vaak het minimale niveau waaraan moet worden voldaan, bijvoorbeeld Performance Level c (ISO ) of de oude categorie 1 (EN 954-1). Het woord minimaal wordt al snel als voldoende gezien en de schakeling wordt gebouwd op basis van dat aangegeven niveau. Maar wanneer nu naar de beoordeling wordt gekeken, komt daar misschien wel minimaal een Performance Level d of categorie 3 uit. De ontwerper zou het niveau moeten kiezen op basis van de beoordeling, maar kiest het niveau uit de norm, waarom, omdat dat in de norm staat?! Hoewel normen flexibeler zijn dan de wet, kunnen ook normen soms achter de stand der techniek aanlopen. Neem de IEC , de NEN 1010 voor machines uit Hierin stond het volgende: (artikel ): - Indien wordt gekozen voor een noodstop volgens categorie 0, mag deze uitsluitend zijn uitgerust met elektromechanische onderdelen met vaste bedrading. Bovendien mag de werking ervan niet afhankelijk zijn van elektronische logica (apparatuur of programmatuur) of van de overbrenging van opdrachten via een communicatienet of verbinding. Deze eis gold totdat de volgende versie in 2006 werd geharmoniseerd. Rond 2000 kwamen de Safety PLC s in opmars en die waren juist voorzien van elektronica en software, die volgens de 97 versie niet toe te passen zou zijn. Terwijl (toen al) met een certificaat van een aangemelde instelling kon worden aangetoond dat dit systeem wel degelijk voldeed aan de essentiële eisen van de Machinerichtlijn en dus veilig was. Hier is een degelijk stuk Afbeelding1. Is het wettelijk verplicht een norm toe te passen, of mag er ook van worden afgeweken? bewijs dat kan worden afgeweken van de norm. Dit voorbeeld toont het belang aan dat de norm vrijwillig is en blijft (en dus de stand der techniek niet tegenhoudt), zodat er vanaf geweken kan worden. De roltrap en de EN 115 Wat je je als ontwerper goed moet realiseren is dat de norm zeker geen vrijbrief is om niet meer aansprakelijk te kunnen worden gesteld. Het volgende voorbeeld toont dit aan. In een (kinder)schoenen- en (kinder) kledingzaak in Haarlem gebeurde een ernstig ongeval met een roltrap. Een klein jongetje was bekneld geraakt in het punt waar de bewegende leuning ( meedraaiende band die als leuning fungeert) weer teruggaat in de vloer. De ouders van het jongetje hielden de eigenaar van het winkelbedrijf, als eigenaar van de roltrap, aansprakelijk voor het ongeval. De ouders waren van mening dat de roltrap gebrekkig was. Het winkelbedrijf verweerde zich door te stellen dat de roltrap niet gebrekkig was. Bij nader onderzoek was namelijk het volgende gebleken: - de fabrikant had bij het ontwerp van de roltrap de EN 115, een specifieke en Europese geharmoniseerde norm voor roltrappen, toegepast - het winkelbedrijf had een Arbodienst een risicoanalyse laten maken, ook van de roltrap - er was een keuring op de roltrap uitgevoerd door een notified body (een aangemelde instantie). Ondanks deze aangevoerde omstandigheden, was het Gerechtshof Amsterdam toch van oordeel dat het winkelbedrijf aansprakelijk was (het winkelbedrijf zal ongetwijfeld deze aansprakelijkheid hebben doorgezet naar de fabrikant van de roltrap. Dit noemt men juridisch regres nemen). Een belangrijke punt voor het Hof, was dat de veiligheid van de roltrap moet voldoen aan wat de gebruiker er onder die omstandigheden van mag verwachten. Dit geldt in het bijzonder als er ook kleine kinderen van gebruik maken. Het toetsen door derden en zelfs door een keurende instantie biedt in dat geval geen garantie dat er niets kan gebeuren! Als er toch iets gebeurt, dan is het winkelbedrijf aansprakelijk wanneer dit bij het te verwachten gebruik hoort (het verkeerd gebruik valt er uiteraard buiten). Kortom, het hof oordeelde in deze casus dat men niet aansprakelijk is op het moment dat er niets gebeurt, maar wél als er wel iets gebeurt bij voorzienbaar gebruik. Dat lijkt een beetje een Cruijffiaanse uitspraak, maar geeft wel gelijk de kern aan. Het is belangrijk om te weten dat rechters de normen (soms ten onrechte) gebruiken als toetsingskader voor de beoordeling van de veiligheid van een machine. Dit leidt soms tot het geval waarin een situatie anders wordt beoordeeld dan wat de ontwerper voor ogen heeft gestaan. Dit moet je onthouden wanneer je van de norm afwijkt. Je hebt sterke argumenten en objectief toetsingsmateriaal nodig, zoals de bewijzen van een notified body om aan te tonen dat het ontwerp deugt en voldoet aan de wet, de Machinerichtlijn. Moet een norm worden toegepast? De Machinerichtlijn (artikel 2, lid 1) geeft zelf al het antwoord: een niet-bindende technische specificatie. Echter, er wordt in andere documenten zoals de Gids voor toepassing van de Machinerichtlijn (2e editie) wel degelijk naar verwezen (artikel 87): - Geharmoniseerde normen zijn essentiële instrumenten voor de toepassing van de machinerichtlijn. De toepassing ervan is niet verplicht. Wanneer de referentie 17

15 nummers van de geharmoniseerde normen in het Publicatieblad van de Europese Unie worden gepubliceerd, houdt de toepassing van de specificaties daarvan echter in dat ervan mag worden uitgegaan dat aan de essentiële veiligheid- en gezondheidseisen waarop deze betrekking hebben wordt voldaan. Een norm is dus in de praktijk min of meer essentieel om de eisen van de richtlijn goed ten uitvoer te kunnen brengen. Maar er kan zeker ook vanaf worden geweken als de situatie dat niet toelaat. De ontwerper dient dan wel met juiste redenen en documenten te kunnen aantonen dat zijn oplossing (ook) voldoet aan de richtlijn. Dit is wat betreft documentatie en bewijslast een zware opgave. Er dient wel opgemerkt te worden dat in sommige situaties een norm wel dwingend door de wet wordt voorgeschreven. Een voorbeeld daarvan is het Bouwbesluit. Wanneer de machine tevens deel uitmaakt van de constructie kan het zijn dat normen verplicht worden voorgeschreven vanuit die specifieke wetgeving. Een machine dient immers te voldoen aan de bepalingen van elke EU-richtlijn die erop van toepassing is Daar dient goed onderzoek naar gedaan te worden. Conclusie Bewust afwijken van een norm kan, als het goed en weloverwogen wordt gedaan, een gerechtvaardigde keuze zijn. Zo kan het volgen van een norm in sommige gevallen niet (volledig) mogelijk zijn, omdat de situatie dat technisch niet toelaat. Dan kan het soms niet anders om af te wijken. Anders gezegd: afwijken kan, maar niet zomaar. Een gedegen (risico)analyse, goed gedocumenteerd in een technisch dossier vormt een juiste (minimum)basis om in bepaalde gevallen af te kunnen wijken. Hoe en wanneer Afbeelding 2. Het programmeerbare besturingssysteem van Pilz. afgeweken kan worden afgeweken, dient van geval tot geval bekeken te worden. Martijn Drost, Pilz 18 Veiligheidstechniek voor de Machinebouw C E S Veiligheidssensor met transpondercodering Bewaking van afschermingen Middel tegen manipulatie Hoogste veiligheidsniveau PLe, SIL3, Categorie 4 Serieschakeling tot en met 20 sensoren Vele bouwvormen en afmetingen EUCHNER (BENELUX) BV I POSTBUS 119 I NL-3350 AC PAPENDRECHT I +31 (0) I INFO@EUCHNER.NL

16 MS6-SV Voor elk veiligheidsniveau Betrouwbaar ontluchten en veilig op druk Het MS6-SV drukopbouw- en ontluchtingsventiel helpt u mee de veiligheid te garanderen voor mens en machine. Enerzijds door een snelle en betrouwbare ontwikkeling van uw systeem, anderzijds kunt u de machines bij opstart controleren en dus veilig op druk brengen. U kunt nu kiezen uit twee varianten. Voor het hoogste veiligheidsniveau adviseert Festo de MS6-SV-E met een performance level E. Is voor u een performance level C voldoende dan kun u nu gebruik maken van de nieuwe MS6-SV-C. De voordelen van de MS6-SV: De MS6-SV biedt de maximale veiligheid voor mens en machine. U voldoet altijd aan de normen Integratie in het modulaire MS-systeem; een complete en veilige luchtverzorging Veiligheidsniveau conform DIN EN ISO performance level C of E; altijd een toegesneden oplossing Veilig, betrouwbaar en veelzijdig. Simply Festo Festo BV Schieweg AN Delft Tel. +31(0) Fax +31(0) apt@festo.nl swave veilig draadloos schakelen 19 swave 2.4 Ghz-safe is de nieuwe radiotechnologie voor draadloze industriële schakelaars draadloze voetschakelaar met veiligheidsfunctie veilig en betrouwbaar met de nieuwe radiotechnologie swave PLd veiligheidsniveau volgens EN ISO producten kennishuis totaaloplossingen ondersteuning Advertentie ESE DEF.indd :28

17 Functional safety voor gevorderden Waarom kiezen tussen PL en SIL? Hoewel de meeste machinebouwers Performance Level (PL) gebruiken om aan te tonen dat veiligheidsfuncties voldoende kwaliteit hebben is het zonder meer aan te bevelen om ook de Safety Integrity Level (SIL) norm toe te passen. SIL en PL lijken namelijk erg veel op elkaar, SIL heeft wat meer variabelen en lastiger formules, PL is wat vereenvoudigd en maakt gebruik van de oude vertrouwde veiligheidscategorieën. Maar degenen die beide normen beheersen zien meer overeenkomsten dan verschillen en kunnen beide normen dan ook optimaal benutten. 20 Met name op het gebied van documenteren en vastleggen is SIL completer dan PL, denk aan de managementactiviteiten en het opstellen van een functional safety plan. Er zijn steeds meer opdrachtgevers die om deze informatie en rapportage vragen. In dit artikel gaan we het verder alleen over techniek hebben. De meeste PL gebruikers zullen categorie 1 en 3/4 architecturen gebruiken, voor enkelvoudige en redundante systemen. Binnen SIL zijn deze architecturen ook beschikbaar (subsysteem architectuur A en D ). Even los van de formules en tabellen (die zien we zelden want we gebruiken toch een computertool) maakt het niet zoveel uit of PL of SIL gebruikt wordt. Een belangrijk verschil tussen de redundante SIL en PL architecturen is dat PL meerdere componenten per redundant kanaal toestaat. Binnen de subsysteem D architectuur van SIL kan dat niet. Bij pneumatische of hydraulische subsystemen worden vaak meerdere componenten in één kanaal opgenomen en in dat geval is SIL niet goed toepasbaar. Een ander verschil tussen PL en SIL is te vinden bij de enkelvoudige architecturen met feedback. Denk aan categorie 2 binnen PL. Falen van een component betekent verlies van veiligheid, maar er is een reële kans dat dit tijdens een test wordt ontdekt. Belangrijk PL vereiste is de verhouding 1 op 100 tussen demandrate en testrate. Om die reden is gebruik van cat2 binnen PL alleen nog in specifieke gevallen mogelijk. SIL werkt niet met categorieën maar brengt de architectuureisen onder in de volgende tabel: Voor HFT=1 (redundante systemen) zijn de architectural constraints duidelijk en vergelijkbaar met PL. Het interessante deel van de tabel is de HFT = 0 kolom en dan met name de twee onderste claim limits. Met SFF = 90% is SIL 2 haalbaar; met 99% SFF zelfs SIL 3! SFF is het deel van de fouten dat veilig is, en daar horen ook de gevaarlijke maar wel gedetecteerde fouten bij. Neem bijvoorbeeld een motorcontactor. Door gebruik te maken van een terugmeldcontact (verbreker) kan een eventueel plakken van de contactor met grote zekerheid worden gedetecteerd (DC=99%). Binnen SIL hebben we dus de mogelijkheid om SIL3 te halen met één enkele motorcontactor, zoals de architectural constraints al aangeven. Bij PL moeten we 100x testen tussen twee keer gebruiken van de veiligheidsfunctie om ten hoogste PL d te bereiken, hoe zit het dan bij SIL?

18 De theorie De norm IEC is de moedernorm voor functional safety waaruit zowel de PL als SIL normen voor de machinebouw zijn afgeleid: IEC ; When estimating the safe failure fraction of an element, intended to be used in a subsystem having a hardware fault tolerance of 0, and which is implementing a safety function, or part of a safety function, operating in high demand mode or continuous mode of operation, credit shall only be taken for the diagnostics if: - the sum of the diagnostic test interval and the time to perform the specified action to achieve or maintain a safe state is less than the process safety time; or, - when operating in high demand mode of operation, the ratio of the diagnostic test rate to the demand rate equals or exceeds 100. IEC ; Process safety time: - period of time between a failure, that has the potential to give rise to a hazardous event, occurring in the EUC or EUC control system and the time by which action has to be completed in the EUC to prevent the hazardous event occurring (EUC = equipment under control). IEC ; Diagnostic test interval: - interval between on-line tests to detect faults in a safetyrelated system that has a specified diagnostic coverage. Uit bovenstaande artikelen is op te maken dat voor systemen zonder redundantie (HFT=0) de hoge DC waarden alleen mogen worden meegenomen in de berekeningen mits er een specifieke actie is die de machine tijdig naar een veilige toestand kan brengen, of mits de test 100x zo vaak wordt uitgevoerd als de veiligheidsfunctie. Enkel het tweede streepje met de bekende 100x factor is opgenomen in de PL norm. Toepassen van SIL maakt het andere streepje mogelijk. Dus we gaan een niet redundant systeem gebruiken waarbij een hoog percentage van de gevaarlijke fouten gedetecteerd wordt. Dat mag dan alleen als er iets is dat ervoor zorgt dat zodra de fout wordt gedetecteerd de machine in een veilige staat komt of blijft. Bij berekeningen met de Siemens Safety Evaluation Tool komt de volgende waarschuwing in beeld bij HFT = 0 en DC > 90: SET: For a single channel architecture (hardware fault tolerance of 0) and DC 90%, SIL CL 2 or 3 only can be achieved with supplement measures. That means a safe condition of the machine shall be initiated by performing a specified fault reaction when a fault will be detected. De onderbouwing hiervan is te vinden in de SIL norm waarbij ook de link naar de moedernorm goed herkenbaar is: EN IEC 62061; Where a diagnostic function(s) is necessary to achieve the required probability of dangerous random hardware failure and the subsystem has a hardware fault tolerance of zero, then the fault detection and specified fault reaction shall be performed before the hazardous situation addressed by the SRCF can occur. EXCEPTION to 6.3.2: In the case of a subsystem implementing a particular SRCF where the hardware fault tolerance is zero and the ratio of the diagnostic test rate to the demand rate exceeds 100, then the diagnostic test interval of that subsystem shall be such as to enable the subsystem to meet the requirement for the probability of dangerous random hardware failure. Voorbeeld We bekijken een zware transportband voor het transporteren van erts. De band heeft 10 aandrijfmotoren. Aan de kant van de keerrol is een afscherming geplaatst in de vorm van een hek met een toegangsdeur. Soms (1x per shift) moet een operator door deze deur voor werkzaamheden. De veiligheidsfunctie is: De band moet stoppen en/of in stilstand blijven als de deur geopend wordt. PL required = d of target SIL = 2. Voor elke aandrijving is één contactor voorzien met een mechanisch gedwongen verbreekcontact als feedback. De band in kwestie heeft de voor dit voorbeeld essentiële eigenschap dat één aandrijving onvoldoende koppel kan leveren om de band in beweging te zetten of te houden. Als één aandrijving start zal de band niet lopen en zal deze aandrijving uiteindelijk thermisch uitvallen. Als dit met PL (cat2) zou worden uitgevoerd moet de transportband 100x starten en stoppen tussen twee keer openen van het hek, dat is in de praktijk zelden een optie. Redundantie in de vorm van extra magneetschakelaars is dan een oplossing. Binnen SIL definiëren we een subsysteem C architectuur, meerdere enkelvoudige systemen met feedback. We hebben dan te maken met de keiharde eis dat zodra de fout gedetecteerd wordt, er een foutreactie is die de machine naar een veilige toestand brengt. Hier is de specified fault reaction het stilstaan van de resterende 9 aandrijvingen die nog wel foutloos functioneren. De machine is op die manier nog steeds in een safe state. Deze benadering lijkt op een 9 out of 10 redundantie maar daar voorziet de norm natuurlijk niet in. Het is slechts een conservatieve benadering van een dergelijk systeem. Let er op dat het gaat om de specified fault reaction en zorg dat dit op een goede manier wordt vastgelegd en aangetoond. Let er ook op dat systematische fouten op de loer liggen. Als een ijverige servicemonteur een kapotte motor vervangt door een ander type, de nieuwste high torque motor, kan het hele verhaal op de schop. Dit is natuurlijk wel ondervangen omdat er een modificatie procedure in het functional safety plan wordt opgenomen. Je kunt natuurlijk alleen de grenzen van een norm opzoeken als je de hele norm toepast. Conclusie Veiligheidsfuncties lijken lang niet altijd op het standaardvoorbeeld waar het openen van een hek één motor uitschakelt. Het beheersen van zowel de PL als de SIL norm brengt grote voordelen met zich mee. Pneumatiek en hydrauliek, zeker combinaties van meerdere ventielen, zijn het beste met PL aan te pakken. Voor andere systemen is SIL weer handiger. Als u al bekend bent met PL is de stap naar SIL goed te doen en kan deze kennis veel voordelen bieden. De komende jaren zullen beide normen naast elkaar blijven bestaan, doe er uw voordeel mee! Gerald van Engeland, D & F 21

19 Ardagh in Deventer pakt gevaarlijke kelder aan Besturing en veiligheid op één PLC bij transportsysteem van blikafval Een bijna 100 meter lange lopende band in de kelder van Ardagh Metal Packaging, producent van blikverpakkingen, zorgt voor de afvoer van het blikafval van de tientallen machines die op de begane grond miljarden deksels per jaar produceren. Het betreden van de kelder bij storingen kan tot risicovolle situaties leiden. Om dit tegen te gaan heeft elektrisch engineer Rob de Ruiter in samenwerking met Pilz een SIL-3 veiligheidssysteem en besturingssysteem voor het transportsysteem geïmplementeerd op basis van één PLC. 22 Met het geweld van de 80-tons persen continu in je oren, de flitsende bewegingen van de uitgestanste deksels op je netvlies die in de snelste lijnen met 500 slagen in aantallen van 2000 per minuut worden geproduceerd, laat je het wel uit je hoofd om zomaar je hand in een machine te steken. Operators zie je dan ook niet in de directe nabijheid van de snel draaiende machines. Gepaste afstand is hier het credo. Onlangs hadden we een discussie met de arbo-werkgroep over dit fenomeen. Uit het oogpunt van de grote gevaren zou je om al die machines hekwerken moeten zetten. Als je echter kijkt naar de kans dat iemand een onveilige handeling verricht dan is die minimaal. Het uiteindelijke risico op letsel is dan een stuk lager dan bij situaties waar de gevaren veel minder voor de hand liggen, waar je door onveilig gedrag omdat je niet bewust bent van de gevaren, feitelijk een veel groter risico loopt. Bijvoorbeeld bij het verhelpen van storingen en onderhoud, een ware sluipmoordenaar wat betreft de risico-analyse. Aan het woord is Rob de Ruiter, al bijna 25 jaar werkzaam bij het bedrijf dat sinds eind 2010 Ardagh Metal Packaging heet, maar bij velen nog bekend zal zijn als Impress Deventer of, voor de wat ouderen onder ons, Thomassen & Drijver. Rob de Ruiter is als elektrisch engineer in de organisatie gegroeid van aanvankelijk 100% storingsmonteur tot projectmedewerker/ leider op het gebied van met name besturingstechniek. Gevarieerd werk dat zich uitstrekt van het ontwerpen en engineeren tot aan het modificeren en inbedrijfstellen van machines en installaties. In die hoedanigheid is hij ook betrokken bij de implementatie van Ardagh Metal Packaging produceert in Deventer jaarlijks miljarden bussen en deksels voor de voedingsmiddelen- en petfood-industrie. Om elk van de drie ingangen van de kelder staat nu een hekwerk, met een elektrisch afsluitbaar hek. Als het hek wordt geopend is er een veilige afschakeling van het hele systeem. De vergrendeling kan pas open als je de unieke sleutel bij je hebt, die in de deur van de besturingskast zit.

20 maatregelen om de veiligheid in de fabriek te vergroten. Gevaarlijke afgesloten ruimte Een enkele maanden geleden gerealiseerd veiligheidsproject is een typisch voorbeeld van een potentieel gevaarlijke situatie waar je je veel minder bewust bent van het mogelijke gevaar dan bij de stampende machines in de productielijnen. Het gaat hier om een bijna 100 meter lange kelder waarin een scrap afvoersysteem draait dat het blikafval naar een container vervoert. In de kelder, die al sinds de uitbreiding van de fabriek voor de productie van bussen en deksels in 1962 als zodanig functioneert, is nog nooit iets gebeurd. Maar dat was voor de arbo- en veiligheidscommissie, die op het gebied van veiligheid aan een continu verbeterprogramma werkt, geen reden om ook hier de veiligheidssituatie kritisch tegen het licht te houden. Er kan wel nooit iets zijn gebeurd, maar als je daar bekneld raakt is er geen mens die dat merkt, zegt Rob de Ruiter. Gemiddeld heb je toch wel één keer per dag een storing in de vorm van afvalophoping; het kan dagen goed gaan, maar soms moet je wel drie of vier keer op een ochtend naar beneden. Bij het stansen van de dekseltjes hou je heel dun trimmetaal over. Dat wordt via een koker op het scrap afvoersysteem in de kelder gestort, dat het vervolgens transporteert naar een container. Dat materiaal is heel scherp en kan zomaar ergens achter blijven haken. Als dat gebeurt, hoopt het op en voordat je het door hebt, zit de boel verstopt en heb je de hele afdeling stilstaan. Op het moment dat er iemand de kelder moet om met een haak de boel los te trekken ontstaan de gevaarlijke momenten. Iemand boven zou kunnen denken: ik Het hart van de besturingskast zit bovenin: het Pilz PSS 4000 automatiseringssysteem dat is opgebouwd rond een PLC en de nodige I/O. start hem weer op, terwijl iemand anders nog beneden is. En dan kan die band wel heel langzaam lopen, maar er is niemand die in de gaten heeft wat er gebeurt; omdat de afstanden zo groot zijn, heb je geen overzicht. Expertise zoeken Na het maken van een risicoinventarisatie kwam naar voren dat de drie ingangen tot de kelder moesten worden afgesloten en dat het alleen betreden van de kelder niet is toegestaan, dat moeten twee bevoegde personen zijn. Dan komt natuurlijk de vraag: hoe ga je dat vorm geven? Het simpelste is helemaal afsluiten: hekken er voor, zodat er niemand meer in kan. Maar hoe flexibel ben je dan? En willen de mensen op de fabrieksvloer zo werken? Als de lijn stil ligt, wil je zo snel mogelijk de storing verhelpen. En hoe borg je dat alleen bevoegd personeel in de kelder komt? Diverse ideeën zijn hiervoor overwogen, waaronder biometrische herkenning. Ook kwamen er veel vragen naar voren over hoe je dat zou kunnen realiseren. Om dit te structureren hebben we in een vroegtijdig stadium contact opgenomen met Pilz, die de Rob de Ruiter bij één van de lijnen waar kwaliteitscontrole van de deksels plaatsvindt. risico-inventarisatie heeft geoptimaliseerd en van daaruit een functioneel en technisch ontwerp gemaakt, dat vervolgens is geïmplementeerd en in werking is gesteld. We werkten al jaren met producten van Pilz; zijn begonnen met de groene serie, en hebben ook de PNOZrelais in gebruik. Een uitgebreide samenwerking zoals in dit project was echter nieuw voor ons. Functioneel ontwerp Bij het inventariseren van de gewenste veiligheidsfunctionaliteiten is al in een vroegtijdig Layout van de veiligheidsvoorzieningen rond de scrapafvoerlijn. 23