Basiscursus Functionele Veiligheid

Transcriptie

1 Pilz Belgium Bijenstraat Gent (Sint-Denijs-Westrem) Belgium Tel. 09/ Fax. 09/ Basiscursus Functionele Veiligheid Document : Pilz basiscursus functionele veiligheid page 1 of 51

2 Inhoudsopgave 1 Europese Richtlijnen en positionering van de normen in Europa Geschiedenis Europese Wetgeving Europese richtlijnen The New Approach - Richtlijn vs Norm Richtlijn Norm geharmoniseerde norm Overzicht Richtlijnen onder de New Approach Machineveiligheid : Richtlijnen en Normen Wetgeving voor machineveiligheid De machinerichtlijn De arbeidsmiddelenrichtlijn De nieuwe machinerichtlijn Normen voor machineveiligheid Machinerichtlijn in de praktijk Safety Life Cycle De installatie Stap 1 : De Risico Analyse Principe Stap 1 risico-analyse : bepalen van de ruimtelijke grenzen van de installatie Stap 2 risico-analyse : Identificatie van de latente gevaren Stap 3 risico-analyse : risico inschatting Stap 4 risico-analyse : risico evaluatie en reductie Stap 2 : Safety Concept detailuitwerking Overzicht en beschrijving van het veiligheidsconcept Safety concept detailuitwerking : mechanische acties Safety concept detailuitwerking : besturingstechnische acties Safety concept detailuitwerking : diverse acties Besluit Alle rechten voorbehouden. Niets uit deze uitgave mag worden verveelvoudigd, opgeslagen in een geautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opname of op enige andere manier, zonder voorafgaande schriftelijke toestemming van de uitgever. Document : Pilz basiscursus functionele veiligheid page 2 of 51

3 1 Europese Richtlijnen en positionering van de normen in Europa 1.1 Geschiedenis Europese Wetgeving De Europese Unie functioneert als een rechtsstaat. Dit betekent dat alle werkzaamheden van de Unie voortvloeien uit de verdragen, die alle lidstaten op vrijwillige en democratische basis hebben goedgekeurd. Op basis van de verdragen kunnen de EU-instellingen wetten maken, die de lidstaten moeten toepassen. De volledige teksten van de EU-wetgeving kunt u vinden in Eur-Lex, de portaalsite voor het recht van de Europese Unie. Alleen de versie uit het Publicatieblad van de Europese Gemeenschappen is rechtsgeldig Verdrag tot oprichting van de Europese Gemeenschap voor Kolen en Staal Het Verdrag tot oprichting van de Europese Gemeenschap voor Kolen en Staal (EGKS- Verdrag), werd op 18 april 1951 in Parijs ondertekend, trad op 23 juli 1952 in werking en verstreek op 23 juli Verdrag van Rome Het Verdrag van Rome tot oprichting van de Europese Economische Gemeenschap (EEG- Verdrag) werd op 25 maart 1957 in Rome ondertekend en trad in werking op 1 januari Op dezelfde dag als het EEG-Verdrag werd in Rome ook het Verdrag tot oprichting van de Europese Gemeenschap voor Atoomenergie (Euratom-Verdrag) ondertekend. Beide verdragen samen worden vaak de Verdragen van Rome genoemd. Fusieverdrag Het Fusieverdrag werd op 8 april 1965 in Brussel ondertekend en is van kracht sinds 1 juli Het zorgde ervoor dat er één enkele Commissie en één enkele Raad kwamen voor de drie Europese Gemeenschappen van toen (EEG, EGKS, Euratom). Europese Akte De Europese Akte werd in Luxemburg en Den Haag ondertekend en trad op 1 juli 1987 in werking. Zij voltooide de interne markt. Verdrag betreffende de Europese Unie Het Verdrag betreffende de Europese Unie (EU-Verdrag) werd op 7 februari 1992 in Maastricht ondertekend en trad op 1 november 1993 in werking. Het wijzigde de benaming "Europese Economische Gemeenschap" in "Europese Gemeenschap". Er werden ook nieuwe vormen van samenwerking tussen de regeringen van de lidstaten ingevoerd, bijvoorbeeld op het gebied van defensie, justitie en binnenlandse zaken. Deze intergouvernementele samenwerking creëerde een nieuwe politieke en economische structuur met drie "pijlers": de Europese Unie. Document : Pilz basiscursus functionele veiligheid page 3 of 51

4 Verdrag van Amsterdam Het Verdrag van Amsterdam dat op 2 oktober 1997 werd ondertekend, is op 1 mei 1999 in werking getreden. In het Verdrag van Amsterdam werden de EU- en EG-Verdragen gewijzigd en hernummerd. Geconsolideerde versies van de EU- en EG-Verdragen zijn aan het Verdrag van Amsterdam toegevoegd. De letters A tot S waarmee de artikelen van het Verdrag betreffende de Europese Unie werden aangeduid, werden bij het Verdrag van Amsterdam vervangen door artikelnummers. Verdrag van Nice Het Verdrag van Nice werd op 26 februari 2001 ondertekend en is op 1 februari 2003 in werking getreden. Het was de bedoeling de instellingen te hervormen om ervoor te zorgen dat de EU ook met 25 of 27 lidstaten kan blijven functioneren. Het Verdrag van Nice, het EU- Verdrag en het EG-Verdrag werden samengevoegd in één geconsolideerde versie. Verdrag van Lissabon Het Verdrag van Lissabon werd ondertekend op 13 december De belangrijkste doelstellingen zijn om de EU demokratischer te maken en te voldoen aan de hoge verwachtingen van de Europese burgers inzake verantwoordelijkheid, openheid, doorzichtigheid en participatie. Bovendien moet de EU efficiënter kunnen reageren op actuele problemen als klimaatverandering, veiligheid en duurzame ontwikkeling. De overeenkomst van het Verdrag van Lissabon kwam er na de discussie over een grondwet. Een "Verdrag tot vaststelling van een grondwet voor Europa" werd aangenomen door de staatshoofden en regeringsleiders op de Europese Raad van Brussel op 17 en 18 juni 2004 en ondertekend in Rome op 29 oktober Document : Pilz basiscursus functionele veiligheid page 4 of 51

5 1.2 Europese richtlijnen De eisen voor iedere lidstaat worden vastgelegd in Europese wetten die juridisch bindend zijn voor elke lidstaat van de EU. 1. sociale richtlijnen : doel = minimum veiligheidseisen in te stellen, lidstaten mogen strengere eisen stellen in eigen land. 2. productrichtlijnen (CE): doel is om handel te bevorderen, d.w.z. lidstaten mogen geen strengere eisen stellen om gelijke handelspositie fabrikanten te waarborgen (is concurrentie) Deze Richtlijnen moeten door de lidstaten omgezet worden in lokale wetgeving. In België zijn dit de zogenaamde koninklijke besluiten. 1.3 The New Approach - Richtlijn vs Norm The New Approach vormt de basis voor de vorming van één Europese interne markt. Het doel is de opheffing van interne handelsbarrières en de verhoging van het veiligheidsniveau. The New Approach wordt beschreven in de council resolution of May Alle informatie over de New Approach vindt u terug op The new approach introduceert een strikte opsplitsing tussen de Europese Richtlijnen (=wet) en de Europese Normen (= technische specificaties) Richtlijn De richtlijnen van de Europese Commissie binnen de New Approach bepalen de essentiële eisen, waaraan goederen moeten voldoen voor de bescherming van gezondheid en veiligheid, wanneer ze op de markt worden geplaatst. Richtlijn = wet!! Norm geharmoniseerde norm De Europese norm commisies (CEN, CENELEC, ETSI) hebben als taak om de technische specificaties te bepalen om aan de essentiële eisen van de richtlijn te voldoen. Men spreekt van een geharmoniseerde norm voor een richtlijn, als de technische specificaties beschreven in die norm, een vermoeden van conformiteit aan de richtlijn verschaffen. Producten die gemaakt worden volgens een geharmoniseerde norm, worden beschouwd als conform aan de essentiële eisen. Normen = geen wet, geen verplichting!! Iedereen is vrij normen te gebruiken. Andere mogelijkheden om aan de essentiële eisen van de richtlijnen te voldoen zijn mogelijk. In dat geval is de fabrikant verplicht zelf te bewijzen dat zijn product voldoet aan de essentiële eisen van de richtlijnen. Maw, het gebruik van geharmoniseerde normen is niet verplicht, maar biedt maximale juridische dekking. Document : Pilz basiscursus functionele veiligheid page 5 of 51

6 1.3.3 Overzicht Richtlijnen onder de New Approach Producten die onder één of meerdere van de bovenstaande richtlijnen vallen moeten voldoen aan de CE markering. Dit houdt in dat de producten vergezeld moeten worden door een verklaring van overeenstemming. Met een verklaring van overeenstemming bevestigt de fabrikant dat zijn product aan alle eisen van de Europese Richtlijnen die van toepassing zijn op zijn product, voldoet. Dit betekent dat hij zijn product op de markt kan brengen en verkopen binnen de EU, zonder rekening te houden met de nationale wetgevingen. Document : Pilz basiscursus functionele veiligheid page 6 of 51

7 1.4 Machineveiligheid : Richtlijnen en Normen Wetgeving voor machineveiligheid De wetgeving rond machineveiligheid bestaat uit : 1. Arbeidsmiddelenrichtlijn : sociale richtlijnen. Doel = minimum veiligheidseisen in te stellen, lidstaten mogen strengere eisen stellen in eigen land. 2. Machinerichtlijn : productrichtlijnen (CE). Doel is om handel te bevorderen, d.w.z. lidstaten mogen geen strengere eisen stellen om gelijke handelspositie fabrikanten te waarborgen (is concurrentie) De machinerichtlijn De machinerichtlijn is een economische richtlijn en heeft als doel het vrij verkeer van goederen te bevorderen. De fundamentele eis van de machinerichtlijn : «een machine mag geen gevaar opleveren voor de veiligheid en gezondheid van personen, dieren of goederen» Algemeen kan een machine worden gedefinieerd als : "een samenstel, uitgerust met een aandrijving die niet afkomstig is van menselijke of dierlijke kracht ; dat bestaat uit onderling verbonden onderdelen of componenten waarvan minstens één beweegt, en die samen een specifieke functie vervullen. De verantwoordelijkheid om aan de eisen van de machinerichtlijn te voldoen liggen bij de machine fabrikant. De fabrikant is diegene die de machine ontwerpt en/of produceert teneinde haar onder zijn eigen naam of merk of voor eigen gebruik in de handel te brengen of voor eigen gebruik. De machinerichtlijn is van kracht sinds 1 januari Alle machines die voor 1995 zijn verhandeld, vallen niet onder de machinerichtlijn, en zijn dus niet de verantwoordelijkheid van de machinefabrikant. De machine fabrikant moet, alvorens een machine in de handel te brengen en/of in bedrijf te stellen, een zogenaamd CE traject doorlopen Document : Pilz basiscursus functionele veiligheid page 7 of 51

8 Het CE traject bestaat uit de volgende stappen : Uitvoeren van een risicoanalyse Machine ontwerpen zodat deze voldoet aan de essentiële eisen van de richtlijn zoals beschreven in bijlage 1 Aanleggen van een technisch constructiedossier (TCD) Duidelijke gebruiksaanwijzing maken Gespaste procedure voor conformiteitsverklaring doorlopen Ondertekenen van conformiteitsverklaring Aanbrengen van de CE-markering op de machine = Conformité Européenne, overeenkomstig de Europese richtlijn Belangrijke opmerking : Met uitzondering van de specifiek gevaarlijke machines die allen opgesomd staan in de bijlage IV van de machinerichtlijn, is de CE conformiteitsverklaring zelf-certificiërend. Dwz dat de machine fabrikant zelf beslist dat zijn machine voldoet aan de essentiële eisen van de machinerichtlijn. CE markering wil dus niet noodzakelijk zeggen dat de machine conform is. De fabrikant kan steeds in gebreke zijn. Voor de CE certificiëring van de bijlage IV machines dient steeds een erkende keuringsinstantie te worden ingeschakeld, zoals bv. AIB Vincotte International, de TÜV, etc De arbeidsmiddelenrichtlijn De arbeidsmiddelenrichtlijn is een sociale richtlijn en heeft als doel de veiligheid & gezondheid van de werknemers te bevorderen. De verantwoordelijkheid om aan de eisen van de arbeidmiddelenrichtlijn te voldoen liggen bij de werkgever De fundamentele eis van de arbeidsmiddelenrichtlijn : «De werkgever neemt de nodige maatregelen om ervoor te zorgen dat arbeidsmiddelen die in de onderneming ter beschikking van de werknemers worden gesteld, geschikt zijn voor het uit te voeren werk, zodat de veiligheid en de gezondheid van de werknemers tijdens het gebruik van dit arbeidsmiddel kan worden gewaarborgd Het toepassingsgebied van de arbeidsmiddelenrichtlijn situeert zich op machines, apparaten, gereedschappen en installaties. (ook deze van voor 1 januari 1995) Algemeen kan gesteld worden dat : Machines gebouwd voor 31 december 1994: Vanaf voldoen aan de minimumvoorschriften bijlage I arbeidsmiddelen + eventueel bijkomende richtlijnen Machines gebouwd na 1 januari 1995: (= SafetyPlaza) Volledig voldoen aan de machinerichtlijn + eventueel bijkomende richtlijnen (bv. EMC-richtlijn) Document : Pilz basiscursus functionele veiligheid page 8 of 51

9 1.4.4 De nieuwe machinerichtlijn De originele machinerichtlijn 98/37 dateert van 1 januari Vanaf 29 december 2009 wordt deze definitief vervangen door de nieuwe machinerichtlijn 2006/42/EG. De nieuwe machinerichtlijn is geen radicale verandering tov de originele versie. Het verduidelijkt en voorziet in een beter wettelijke zekerheid : De scope en inhoud zijn nauwkeuriger uitgedrukt Dubbelzinnigheden die tot verschillende interpretaties kunnen leiden zijn verwijderd Normen voor machineveiligheid Bij iedere richtlijn die gepubliceerd staat op de Europese website staat een lijst van alle normen die geharmoniseerd zijn op de betreffende richtlijn. De lijst van geharmoniseerde normen op de Machinerichtlijn is erg uitgebreid, en bevat honderden normen. De uitdaging is dus steeds die normen te bepalen die van toepassing zijn op de betreffende machine. Bovendien zijn normen niet gratis en verwijzen de normen onderling veelal naar elkaar. Concreet worden normen als volgt opgedeeld : 1. A normen : A normen zijn algemene normen, en zijn van toepassing op alle machines Bv. : EN & 2 ( veilig ontwerp), EN ISO ( risico analyse) 2. B- normen : Specifieke veiligheidsmiddelen en ergonomische aspecten Bv. : EN ISO ( besturingstechnische veiligheid), EN 999 ( veiligheidsafstanden), EN IEC ( elektrische installaties), EN-ISO (Veiligheidsafstanden, dimensionering en plaatsing afschermingen), EN ISO ( noodstop) 3. C-normen : Specifieke typemachines Bv. : EN 775 ( robots), EN ( lasers) De normen die in deze cursus worden besproken zijn de : EN ISO en de TR ISO : uitvoeren van de risico analyse EN : besturingstechnische veiligheid via veiligheidscategoriën EN ISO : besturingstechnische veiligheid via Performance Levels EN IEC : besturingstechnische veiligheid via Safety Integrity Levels Document : Pilz basiscursus functionele veiligheid page 9 of 51

10 2 Machinerichtlijn in de praktijk 2.1 Safety Life Cycle In het geval een machine moet voldoen aan de essentiële eisen van de machinerichtlijn of aan deze van de arbeidsmiddelenrichtlijn, kunnen we steeds een vaste sequentie van stappen bepalen die moeten doorlopen worden om tot een conforme installatie te komen. Deze stappen noemen we ook de safety life cycle van een machine. Concreet bestaat de safety life cycle uit volgende stappen : 1. De risico analyse : identificatie en wegen van de aanwezige risico s op de installatie. Doel is te bepalen welke aanwezige risico s niet aanvaardbaar zijn, en verder dienen te worden gereduceerd. 2. Safety concept : globaal voorstel van de te nemen maatregelen voor risico reductie. Hierbij wordt zoveel mogelijk gestreefd naar overeenstemming met de internationale geldende richtlijnen en normen. Doel is een economisch haalbaar, werkbaar en conforme beveiliging van de installatie vast te leggen. 3. Safety design : detail engineering van de mechanische en besturingstechnische acties. Hieronder vallen o.a. het ontwerp van de elektrische schema s, het ontwerp van de mechanische afschermingen, de selectie van de adequate veiligheidscomponenten, hardware and software design architectuur veiligheidskringen. 4. Systeem implementatie : de installatie, programmatie en opstart van het safety concept. 5. Veiligheidsvalidatie : Functionele testen en fouttesten. Controle dat aan de veiligheidseisen is voldaan Controle van de besturingstechnische eisen, programma s, veiligheidscomponenten, enz. 2.2 De installatie De uitgewerkte installatie is een machine voor het palletiseren van kleine dozen chips. De installatie is een samenbouw van een robot en een transportband. De doosjes chips worden manueel op de transportband gezet. De robot neemt deze van de band en plaatst deze op een pallet. Als de pallet volledig gevuld is, wordt deze weggereden met een heftruck. De machine wordt nieuw opgebouwd en dient te voldoen aan alle essentiële eisen van de machinerichtlijn, zoals beschreven in bijlage I. In onderstaande uitwerking worden alle noodzakelijke stappen om tot een conforme installatie te komen verder verklaard en uitgelegd. Document : Pilz basiscursus functionele veiligheid page 10 of 51

11 2.3 Stap 1 : De Risico Analyse Principe Voor de uitvoering van de risicoanalyse is gekozen om de Internationale/Europese norm EN ISO te volgen. Dit is de geharmoniseerde norm voor risico analyse op de machinerichtlijn. De volgende stappen zijn beschreven in de norm: 1. bepalen van de grenzen van de machine, zowel op het menselijke vlak als op het fysische vlak. 2. identificatie van (latente) gevaren; 3. risicoschatting welke uitgevoerd (voor deze inschatting, maken wij hier gebruik van de risicograaf die teruggevonden kan worden in het technisch document, TR 14121, dat deze norm begeleidt) 4. risico-evaluatie 5. Prioriteiten voor risico-reductie Figuur 1 : Risicobeoordelingsproces volgens de EN / ISO Document : Pilz basiscursus functionele veiligheid page 11 of 51

12 2.3.2 Stap 1 risico-analyse : bepalen van de ruimtelijke grenzen van de installatie Doel : duidelijke omschrijving van de functionele mogelijkheden van de machine Beoogde gebruik / te voorzien misbruik Omgeving waar het wordt gebruikt en onderhouden Verschillende manieren waarop met de machine gewerkt kan worden : onderhoud/opbouw/operatie Opleiding/ervaring van de bedieners Ruimte voor operatoren, ruimte voor beweging, bedienerspost... Tijdsstip voor onderhoud, levensduur van de machine Ruimtelijke grenzen Zie hiervoor ook de beschikbare mechanische lay-out tekeningen Operatoren /Training Het gebruik van de machine is beperkt tot getrainde operatoren. Deze operatoren doen de vereiste kennis op via opleiding en peterschap. Daarenboven zijn verschillende werk instructies beschikbaar die door de operatoren steeds kunnen worden geraadpleegd. Voor onderhoud interventies (met uitzondering van interventies voor eenvoudige problemen van de installatie) wordt specifiek geschoold personeel ingezet. Gebruik /Gebruikersfrequentie De machine wordt 5 dagen per week, in 2 shifts per dag gebruikt. Alleen normaal begaafde personen, die niet onder de 21 jaar zijn, met normaal reactievermogen, werken met de installatie Nieuwe operatoren die tewerkgesteld worden aan de machine, krijgen een basisopleiding. Gedurende de opleidingsperiode worden zij vergezeld van een ervaren operator. De nieuwe operatoren worden bekend gemaakt met de bewegingen van de installatie en special aandacht wordt gevestigd op de mogelijke risico s. Iedere operator wordt geacht in staat te zijn de installatie te stoppen en opnieuw te starten. Document : Pilz basiscursus functionele veiligheid page 12 of 51

13 Checklist Ruimtelijke grenzen Ref. Beschrijving Opmerking 1 Ruimtelijke grenzen 1.1 Locatie van de machine : - Binnen - Buiten 1.2 Bestaat de machine uit verschillende onderdelen? X Y Transportband Palletiseerrobot Elektrische kast 1.3 Beoogde gebruik, functionaliteit van de machine. - Industrieel - Niet industrieel - Huishoudelijk 1.4 Voldoende bewegingsruimte aanwezig voor operatoren? 1.5 Worden andere personen dan de operatoren aan de gevarenzone blootgesteld? 2 Gebruikersgrenzen 2.1 Door wie wordt de machine bediend (professionals, jobstudenten, kinderen, personen met beperkte fysische mogelijkheden, )? 2.2 Opleidingsniveau van de operatoren; - Opleiding bij indiensttreding - Peterschap - Jaarlijkse evaluatie - X Ja Nee X Transport + palletiseren van kartonnen verpakkingen voor chips Tijdens normale operaties moeten de operatoren enkel op de daarvoor voorziene plaatsen ingrepen uitvoeren. Hier is voldoende bewegingsruimte voorhanden. Ingeval van onderhoud en gespecialiseerde handelingen aan de installatie, kan er mogelijks plaatsgebrek ontstaan. Normalerwijze worden enkel de operatoren (en eventueel de onderhoudstechniekers) aan de gevarenzone blootgesteld. De installatie dient bediend te worden door volwassen operatoren, met normaal reactievermogen. Aan de installatie worden geen minderjarige personen als mindervalide personen tewerk gesteld. Onderhoud en interventies worden door daarvoor opgeleide personen uitgevoerd. Algemene veiligheidsopleiding bij indiensttreding. Onder begeleiding van ervaren operatoren. Instructies zijn aanwezig Document : Pilz basiscursus functionele veiligheid page 13 of 51

14 Ref. Beschrijving 2.3 Is iedere operator op de hoogte van? - productieproces - gebruikersinstructies - gevaren X X X Opmerking Het betreft een nieuwe installatie, waarbij iedere operator inzicht dient te verwerven in het productieproces en de mogelijke gevaren bij de normale werking. Enige ervaring is reeds aanwezig bij het bedienen van de schredder en een gelijkaardige zeef. 2.4 Wanneer wordt de machine gebruikt? - Dag - Nacht - Week - Weekend X 2.5 Wat zijn de gebruiksfasen van de machine? - Productie - Onderhoud - Reiniging - Inspectie - Afbraak / Opbouw 2.6 Reeds ongevallen gebeurd, ongevallenfrequentie? - Lijst aanwezig X X X X X Het betreft een nieuwe machine Stap 2 risico-analyse : Identificatie van de latente gevaren Alle latente gevaren, gevaarlijke situaties en gevaarlijke gebeurtenissen die met een machine in verband kunnen gebracht worden, moeten worden geïdentificeerd. In bijlage A2 van de norm is een lijst (niet exhaustief) opgenomen met enkele soorten gevaren. Er wordt een onderverdeling gemaakt naar de volgende typen gevaren: 1. Mechanische gevaren 2. Elektrische gevaren 3. Thermische gevaren 4. Gevaren door lawaai 5. Gevaren door trillingen 6. Gevaren door straling 7. Gevaren door materialen en stoffen 8. Gevaren door verwaarlozing van ergonomische principes bij het ontwerp 9. Gevaren tengevolge van de omgeving waarin de installatie is gebruikt. 10. Combinaties van gevaren Document : Pilz basiscursus functionele veiligheid page 14 of 51

15 Tabel A2 van de norm geeft daarnaast nog een lijst van enkele veel voorkomende gevaren en hun gevolgen. In bijlage A3 van de norm zijn verscheidene voorbeelden van gevaarlijke situaties weergegeven, terwijl bijlage A4 zich vooral focust op gevaarlijke gebeurtenissen. Ex Table A.2 Ex Table A.1 Ex Table A.3 Ex Table A.4 Annex 1, EN ISO Document : Pilz basiscursus functionele veiligheid page 15 of 51

16 Toegepast op onze installatie komen we onder meer tot de volgende risico s : Robotcel : Gevaarlijke situatie Slagen en stoten t.g.v. snelle, bruuske bewegingen robot Grijpen door grijparm bevestigd aan robot Op hol slaan robot (niet volgen geprogram. taken) Klemmen, verbrijzelen tussen robot & omgeving Allerlei gevaren door onderhoud/testen * Transportband : Gevaarlijke situatie Slagen/stoten/verwonding t.g.v. open- & dichtgaande beweging politieagent Knellen & pletten vingers door openingen schakels Meetrekken, knellen en pletten ledematen door aandrijving Snijden door scherpe kanten aan transportband Document : Pilz basiscursus functionele veiligheid page 16 of 51

17 Elektrische Installatie : Gevaarlijke situatie Directe aanraking (van elektrische componenten onder spanning) Indirecte aanraking (van geleidende delen onder spanning door storing) Ongewenste start door enkelvoudige fout in besturingssysteem Niet meer kunnen stoppen door enkelvoudige fout in besturingssysteem Gevaren door uitwendige invloeden (erkend organisme inschakelen): keuze van componenten; benodigde IP-graad Document : Pilz basiscursus functionele veiligheid page 17 of 51

18 2.3.4 Stap 3 risico-analyse : risico inschatting Voor de inschatting van de aanwezige gevaren is gebruik gemaakt van de risicograaf die in de bijlage van het technisch rapport TR kan teruggevonden worden. Dit is een praktische kwalitatieve methode voor het bepalen van het risiconiveau van elk geïdentificeerd gevaar, zodanig dat men achteraf aan de hand van deze inschatting een correcte evaluatie van de aanwezige risico s kan maken. Verklaring van de parameters 1. De ernstgraad, de S-factor ( Severity ), de mate van verwonding: S1 = lichte verwonding die omkeerbaar is, bijvoorbeeld een schram of blauwe plek op de ledematen S2 = zware verwonding die onomkeerbaar is, bijvoorbeeld snijwonden, botbreuken, blijvende invaliditeit en beroepsziekten tot zelfs de dood. 2. De blootstelling, de E-factor ( Exposure ), is opgebouwd uit twee parameters, namelijk: de frequentie waaraan de bediener aan het gevaar wordt blootgesteld; de tijdsduur van de bewuste blootstelling. De frequentie van de blootstelling kan als volgt worden gespecificeerd: E1 = 2 maal of minder per shift, of als de totale gecumuleerde blootstelling per shift kleiner is dan 15min E2 = meer dan 2 maal shift, of als de totale gecumuleerde blootstelling per shift groter is dan 15min 3. De waarschijnlijkheid, de O-factor ( Occurence ), voorspelt de kans op een gevaarlijke gebeurtenis: O1 = volwassen, robuuste technologie die voldoende is getest is in veiligheidsapplicaties O2 = technische fout gezien tijdens de laatste 2 jaar: Ongepaste menselijke handeling door een persoon met voldoende kennis van de risico s en met meer dan 6 maand werkervaring aan het desbetreffende werkstation. O3 = Technische fout die regelmatig wordt opgemerkt (elke 6maanden of minder): Ongepaste menselijke handeling door een persoon met minder dan 6 maand werkervaring aan het desbetreffende werkstation Gelijkaardig ongeval voorgekomen in de plant tijdens de laatste 10 jaar Document : Pilz basiscursus functionele veiligheid page 18 of 51

19 4. De gevaarsafwending, de A-factor ( Avoidability), geeft aan of het mogelijk is om het gevaar te ontwijken: A1 = gevaar afwenden mogelijk onder bepaalde omstandigheden: Delen bewegen trager dan 0,25m/sec en de blootgestelde persoon heeft een voldoende kennis van de gevaren Afhankelijk van enkele specifieke gevallen (temperatuur, druk, ) A2 = gevaar afwenden nauwelijks mogelijk Toegepast op de risico s van onze installatie komen we tot de volgende resultaten : Robotcel : Gevaarlijke situatie Mogelijke gevolgen S E O A Risico index Slagen en stoten t.g.v. snelle, bruuske bewegingen robot Lichte tot zware vezwondingen, kneuzingen, schaafwonden Grijpen door grijparm bevestigd aan robot Op hol slaan robot (niet volgen geprogram. taken) Klemmen, verbrijzelen tussen robot & omgeving Allerlei gevaren door onderhoud/testen * Allerlei verwondingen Ernstige verwonding Ernstige verwondingen Ernstige verwondingen Document : Pilz basiscursus functionele veiligheid page 19 of 51

20 Transportband : Gevaarlijke situatie Mogelijk gevolg S E O A Risico index Slagen/stoten/verwonding t.g.v. open- & dichtgaande beweging politieagent Lichte vezwondingen, Kneuzingen, schaafwonden Knellen & pletten vingers door openingen schakels Lichte verwondingen Meetrekken, knellen en pletten ledematen door aandrijving Snijden door scherpe kanten aan transportband Allerlei verwondingen, verbrijzeling van ledematen Kleine sneden altijd mogelijk Elektrische Installatie : Gevaarlijke situatie Mogelijk gevolg S E O A Risico index Directe aanraking (van elektrische componenten onder spanning) Brandwonden Electrocutie/dood Indirecte aanraking (van geleidende delen onder spanning door storing) Brandwonden Electrocutie/dood Ongewenste start door enkelvoudige fout in besturingssysteem Niet meer kunnen stoppen door enkelvoudige fout in besturingssysteem Ernstige verwonding Ernstige verwonding Gevaren door uitwendige invloeden (erkend organisme inschakelen): keuze van componenten; benodigde IP-graad Allerlei verwondingen niet Document : Pilz basiscursus functionele veiligheid page 20 of 51

21 2.3.5 Stap 4 risico-analyse : risico evaluatie en reductie Via de stappen risico inschatting (zie hoofdstuk 2.3.4) krijgt ieder risico een risico index. Bij gebruik van de risicograaf wordt voor ieder risico een index bepaald tussen 1 en 6. Dit laat ons toe te besluiten of een risico aanvaardbaar is of niet, en prioriteiten toe te kennen aan de verschillende risico s. Een risico index 1 of 2 worden beschouwd als de laagste prioriteit voor actie (prioriteit 3); Een risico index 3 of 4 worden beschouwd als gemiddelde prioriteit voor actie (prioriteit 2); Een risico index of 5 of 6 worden beschouwd als de hoogste prioriteit voor actie (prioriteit 1); Bij gebruik van de risicograaf kan men risico s met een index van 2 of minder beschouwen als aanvaardbaar, en dienen geen verdere acties voor risico reductie te worden ondernomen. Alle ander risico s dienen verder te worden gereduceerd tot ze een index van 2 of minder krijgen. De stap risico reductie is de belangrijkste stap in het ganse traject om de machine veilig te maken, maar tegelijk ook de moeilijkste stap. Voor ieder risico zijn er verschillende mogelijkheden voor reductie bedenkbaar. Risico reductie is steeds een evenwicht tussen : Conformiteit aan de richtlijn : gebruik bij voorkeur zoveel mogelijk de Europese geharmoniseerde normen. Behoud functionaliteit : de beoogde functie van de machine/installatie moet op een productieve manier kunnen worden uitgevoerd. Hiervoor biedt de technologie heel wat mogelijkheden. Economische aspecten Document : Pilz basiscursus functionele veiligheid page 21 of 51

22 Voor de risico reductie is geen vaste structuur aan te leren. Wat wel heel belangrijk is, is de volgende dwingende risico-reductie volgorde : 1. Voorkom of beperk het gevaar bij de bron: gebruik van minder gevaarlijke materialen, verlaag snelheid en druk, 2. Collectieve beveiliging Vaste afschermingen hekbewaking al dan niet met vergrendeling Lichtschermen (met sasfunctie) 3. Individuele bescherming handschoenen Veiligheidsschoenen helm, gehoorbescherming, 4. Organisatorische maatregels Pictogrammen Instructies Procedures Document : Pilz basiscursus functionele veiligheid page 22 of 51

23 2.4 Stap 2 : Safety Concept detailuitwerking Overzicht en beschrijving van het veiligheidsconcept Onderstaande lay out toont het voorstel tot beveiliging van onze robotcel. Dit voorstel houdt rekening met de conformiteit aan de richtlijnen en behoud van de functionaliteit. Ze is stap voor stap opgebouwd volgens de dwingende volgorde van risico reductie. 1. Hekwerk (1) : De meest sluitende manier voor collectieve bescherming is de hele installatie af te schermen met vast hekwerk. Voor de vereiste interactie met de installatie moeten openingen voorzien worden in dit hekwerk, zonder in te boeten op de veiligheid. 2. Deur (2) : voor korte en lange interventies wordt een toegangsdeur voorzien. Deze wordt bewaakt door een safety switch, waardoor de installatie veilig stopt als de deur wordt geopend. 3. Lichtscherm (3) : de heftruckchauffeur kan niet steeds een deur openen, wanneer hij een pallet komt ophalen. Dit werkt contraproductief. Daarom wordt de toegangszone voor de heftruck via een veilig lichtgordijn bewaakt. Bij doorrijden door het lichtscherm wordt de installatie veilig gestopt. 4. Lichtscherm met muting (4) : de operator plaatst de doosjes op de transportband. Om de doosjes door de afscherming te laten passeren wordt een opening voorzien in het hekwerk die zo klein mogelijk wordt gehouden. Aangezien de operator via deze opening geklemd kan raken of meegetrokken kan worden met de transportband, wordt de opening bewaakt door een veilig lichtgordijn. Doorgang door het lichtgordijn leidt tot veilige stilstand van de installatie. Heel belangrijk voor de productiviteit is dat de doorgang van de doosjes zelf door dit lichtgordijn niet leiden tot stilstand van de installatie. Daarom wordt veilige muting (=overbrugging) van het lichtgordijn uitgewerkt. Via een systeem van fotocellen wordt een doosje gedetecteerd vooraleer het door het lichtgordijn passeert. Op dat moment wordt het lichtgordijn overbrugd en reageert het niet op de doorgang van het doosje. Eens het doosje voorbij is, wordt het lichtgordijn terug geactiveerd. De positie en bewaking van de fotocellen is zo opgebouwd dat het lichscherm enkel overbrugd wordt, bij doorgang van een doosje. Ieder ander voorwerp, inclusief armen en handen leidt onmiddellijk tot afschakeling van de installatie. 5. Noodstoppen : op gepaste posities worden noodstoppen voorzien. Noodstoppen dienen als bijkomende veiligheid, voor het geval er ondanks alle veiligheidsvoorzieningen toch nog iets fout zo lopen. Bij drukken van de noodstop worden alle energie voorzieningen naar de installatie op een veilige manier ontkoppeld. Al deze punten worden in detail uitgewerkt in de volgende hoofdstukken. Document : Pilz basiscursus functionele veiligheid page 23 of 51

24 2.4.2 Safety concept detailuitwerking : mechanische acties De machinerichtlijn maakt een duidelijk onderscheid tussen vaste en beweegbare afschermingen. Vaste afschermingen moeten zodanig zijn bevestigd dat zij alleen met behulp van gereedschappen kunnen worden geopend of verwijderd. Bij demontage moeten de bevestigingsmiddelen met de afschermingen of de machine verbonden blijven. Waar mogelijk, mogen afschermingen niet zonder hun bevestigingsmiddelen op hun plaats kunnen blijven. Beweegbare afschermingen met blokkeervoorziening moeten gecombineerd zijn met een vergrendelinrichting die: voorkomt dat gevaarlijke machinefuncties in werking treden totdat de afscherming gesloten is, en een opdracht tot stopzetting geeft wanneer de afscherming niet meer gesloten is. Om er zeker van te zijn dat de afscherming voldoet aan alle eisen van de machinerichtlijn, werken we volgens de volgende geharmoniseerde Europese normen : EN / ISO 13857, safety of machinery, safety distances. Preventing reaching into dangerous areas with the upper and lower limbs. EN 953 / ISO 14120, safety of machinery. General requirements for the design and construction of guards (permanent, movable). EN / ISO (PL a.. e ) : bij beweegbare afschermingen moet de positie veilig bewaakt worden. De EN/ISO beschrijft hoe het besturingscorcuit hiervoer dient uitgevoerd te worden (zie hoofdstuk In deze normen vinden we de praktische invulling van de volgende eisen uit de machinerichtlijn : robuuste constructie mag geen extra risico genereren mag niet eenvoudig te omzeilen zijn of verwijderd kunnen worden Op een gepaste afstand van de gevarenzone geplaatst zijn Minimale belemmering vormen voor het zicht op het productieproces Toelaten om essentieel werk op de installatie uit te voeren, zoals bv. onderhoud, door toegang te verschaffen tot enkel die zones die nodig zijn voor dit werk en bij voorkeur zonder dat hiervoor het hekwerk dient verwijderd te worden. Onderstaande tabellen uit de norm EN ISO geven een inzicht in hoe een afscherming dient opgebouwd te worden om de bovenste en onderste ledematen te beschermen tegen de gevaren van de machine. Document : Pilz basiscursus functionele veiligheid page 24 of 51

25 Tabel 3 : Reiken van de arm door openingen van maximaal 120 mm hoog Afstand tot de gevarenzone bedraagt minimaal 850mm. Tabel 4 : Bepalen veiligheidsafstand mazengrootte. van de in functie van de Bv. : vierkante opening van 12 mm afstand van de afscherming tot de gevarenzone is minimaal 80 mm Bijlage B : bescherming van de veiligheidsafstand voor onderste ledematen Document : Pilz basiscursus functionele veiligheid page 25 of 51

26 Tabel 2 : veiligheidsafstand voor bescherming van de bovenste ledematen Bijvoorbeeld : Hoogte gevaar (a): 1600 mm Afstand gevaar ( c ): 900 mm Hoogte van de afscherming moet minimaal 1600 mm zijn Document : Pilz basiscursus functionele veiligheid page 26 of 51

27 2.4.3 Safety concept detailuitwerking : besturingstechnische acties In dit hoofdstuk wordt beschreven hoe die delen van de besturing die instaan voor de veiligheid, dienen opgebouwd te worden. We spreken in dat geval van besturingstechnische veiligheid. Op onze installatie vinden we volgende veiligheidsfuncties terug in de besturing : Bewaking van de positie van de toegangsdeur mbv een safety switch (2) Lichtscherm bij opening palletpositie (3) Lichtscherm met muting bij positie invoer doosjes (4) Noodstoppen De machinerichtlijn legt o.a. de volgende eisen op aan de besturing : moet bestand zijn tegen de normale bedrijfsbelasting en tegen invloeden van buitenaf, een storing in de apparatuur of de programmatuur van het besturingssysteem mag niet tot een gevaarlijke situatie leiden fouten in de besturingslogica mogen niet tot een gevaarlijke situatie leiden redelijkerwijs voorzienbare menselijke fouten gedurende de werking mogen niet tot een gevaarlijke situatie leiden. Tot voor kort werd voor de uitvoering van besturingstechnische veiligheid gebruik gemaakt van de Europese geharmoniseerde norm EN die werkt met veiligheidscategoriën (CAT B, 1, 2, 3 en 4). De EN 954 vervalt, en er zijn twee opvolgers klaar : De EN ISO werkt met performance levels (Pl a tem Pl e) De EN IEC werkt met Safety Integrity Levels (SIL 1 tem SIL 3) Beide normen leunen dicht tegen elkaar aan. Voor de machinebouw is de EN ISO de meest interessante, omdat deze zowel elektrische, hydraulische en pneumatische circuits bespreekt. De EN IEC behandelt enkel elektrische aspecten. Verder bouwt de EN ISO ook verder op de reeds bestaande veiligheidscategoriën uit de EN 954, wat een voordeel is voor de mensen die reeds vertrouwd waren met de veiligheidscategoriën. Omwille van deze redenen werken we in deze cursus met de EN ISO Er zijn verschillende redenen waarom de EN 954 vervalt en moest verbeterd worden, o.a. : Betrouwbaarheid : de EN 954 zegt niets over de betrouwbaarheid van de componenten die gebruikt worden in het veiligheidscircuit. Hij legt enkel eisen op aan de architectuur van de stuurkring (zie verder). Te veel ongelukken zijn te wijten aan onbetrouwbare componenten. Software : door de evolutie in technologie is het vandaag perfect mogelijk om de veiligheidskringen via software vrij te programmeren. De EN 954 behandelt niet hoe deze software moet opgebouwd worden. Systematische integriteit : de EN ISO en EN IEC behandelen ook best engineering practices, zoals opleiding van de ontwerper, omgevingsinvloeden (EMC, IP graad),... Document : Pilz basiscursus functionele veiligheid page 27 of 51

28 Definities, Performance Level Indien we gebruik maken van de risicograaf uit de EN ISO 14121, krijgen we een algemene classificatie van alle soorten gevaren die bij de machine aanwezig kunnen zijn. Deze inschatting kan dan worden gebruikt om de prioriteiten vast te leggen. Dit is een hulpmiddel om de belangrijkste risico s te identificeren en deze eerst aan te pakken. Hiernaast is het noodzakelijk om voor risico s, die besturingstechnisch kunnen worden gereduceerd, een tweede inschatting te maken. Deze gebeurt op basis van de risicograaf uit de norm EN/ ISO Hiermee krijg je een maatstaf voor de technische eisen waaraan de (technische) veiligheidsmaatregelen moeten voldoen. Deze eisen worden vertaald in een zogenaamde structuur en betrouwbaarheid van de veiligheidskring. Iedere veiligheidskring noemen we een safety related part of the control system (SRP/CS). Zoals hieronder te zien valt, zijn de gebruikte parameters voor deze inschatting zeer gelijkaardig met deze van de risicograaf uit het TR Dit komt het gebruik van deze methode dan ook ten goede. De lay-out van een typische veiligheidskring wordt hieronder getoond. Document : Pilz basiscursus functionele veiligheid page 28 of 51

29 Bepalen van het vereiste Performance Level De bepaling van het vereiste niveau (Performance Level, PL r ), in verhouding tot de gevaarlijke situatie, wordt gedaan door middel van de risico-graaf: Behalen van het vereiste Performance Level (PL r ) De norm EN / ISO beschrijft volgende eisen om het gewenste Performance Level te bereiken: Eisen aan de architectuur : bepaald door de oude veiligheidscategoriën uit de EN Eisen aan de betrouwbaarheid MTTF d (Mean Time to Dangerous Failure) Eisen aan diagnose DC (Diagnostic Coverage) : fout detecteren voor ze gevaarlijk wordt. Eisen voor CCF (Common Cause Failure) : bij redundant systemen (CAT 3 en CAT4) dient voorkomen te worden dat één fout leidt tot verlies van beide kanalen in de redundant opbouw Systematische Integriteit ( Good Engineering Practices ). De norm voorziet in een methodiek die een goed evenwicht vindt tussen de structuur (Categorie) en statistische betrouwbaarheid (MTTF d, DC). De verschillende eisen worden hieronder in detail besproken, waarna ze concreet op onze installatie worden toegepast : Document : Pilz basiscursus functionele veiligheid page 29 of 51

30 Behalen van het vereiste Performance Level (PL r ) : eisen aan de architectuur : bepaald door de veiligheidscategoriën uit de EN Categorie B Eigenschappen : Het optreden van een fout kan tot een gevaarlijke situatie leiden Geen fout detectie van het input en output device Categorie 1 Eigenschappen : Het optreden van een fout kan tot een gevaarlijke situatie leiden Geen fout detectie van het input en output device De safety-related parts moeten ontworpen en gebouwd zijn door het gebruik van beproefde componenten en beproefde veiligheidsprincipes Beproefde componenten betekent : de componenten zijn met succes wijd verspreid gebruikt in het verleden in gelijkaardige applicaties, of ze zijn ontworpen door gebruik te maken van technieken die aantonen dat ze geschikt en betrouwbaar zijn voor veiligheidstoepassingen Bijvoorbeeld : safety switch met geforceerd openende contacten Beproefde veiligheidsprincipes zijn circuits die zodanig opgebouwd zijn dat bepaalde fouten vermeden kunnen worden door de gepaste schikking of lay out van de componenten. Bijvoorbeeld : vermijden van kortsluiting door geschikte scheiding. Component fouten vermijden door overdimensionering,... Document : Pilz basiscursus functionele veiligheid page 30 of 51

31 Categorie 2 Eigenschappen : De veiligheidsfunctie moet op gepaste tijdstintervallen worden getest door het besturingssyteem van de machine. Het optreden van een fout kan tot een gevaarlijke situatie leiden tussen de testen. Het verlies van de veiligheidsfunctie wordt gedetecteerd door de test De test mag automatisch of manueel gestart worden. Automatisch kan bijvoorbeeld door het startsignaal voor de test van het controle systeem te laten komen op gepaste tijdsintervallen. Indien mogelijk moet de voorkeur worden gegeven aan de automatische test. Als een fout wordt gedetecteerd, moet een output signaal worden gegenereerd om de geschikte controle actie uit te voeren. Hiervoor dient een tweede onafhankelijke afschakelroute worden voorzien. Schema voorbeeld voor noodstopcircuit : Eénkanalige veiligheidsswitch ( bv. noodstop) wordt bewaakt door een eénkanalig/cat 2 gekeurde veiligheidslogica (= logica die eigen fouten detecteert en redundant is opgebouwd) Veilige uitgang stuurt vermogencontactor aan/uit. Normaal gesloten contact van de vermogencontactor (mechanisch verbonden) wordt bewaakt door de veiligheidslogica (= terugkoppelingscircuit) Meldcontact naar machinesturing voor tweede afschakelroute. Document : Pilz basiscursus functionele veiligheid page 31 of 51

32 Categorie 3 Eigenschappen : Een enkelvoudige fout in één van de delen leidt niet tot het verlies van de veiligheidsfunctie Wanneer praktisch mogelijk wordt deze enkelvoudige fout gedetecteerd. Niet alle fouten worden gedetecteerd Een opéénvolging van niet gedetecteerde fouten kan leiden tot het verlies van de veiligheidsfunctie. Schema voorbeeld voor noodstopcircuit : Tweekanalige veiligheidsswitch ( bv. noodstop) wordt bewaakt door een tweekanalig/cat 3 gekeurde veiligheidslogica (= logica die eigen fouten detecteert en redundant is opgebouwd) Veilige uitgang stuurt twee in serie geschakelde vermogencontactoren aan/uit. Normaal gesloten contacten van de vermogencontactoren (mechanisch verbonden) worden bewaakt door de veiligheidslogica (= terugkoppelingscircuit) Meldcontact naar machinesturing voor tweede afschakelroute. Document : Pilz basiscursus functionele veiligheid page 32 of 51

33 Categorie 4 Eigenschappen : Een enkelvoudige fout in één van de delen leidt niet tot het verlies van de veiligheidsfunctie Een enkelvoudige fout wordt gedetecteerd tijdens of voor het volgende gebruik van de veiligheidsfunctie. Als het niet mogelijk is deze fout op te sporen, mage en opeenvolging van foute niet leiden tot het verlies van de veiligheidsfunctie. Schema voorbeeld voor noodstopcircuit : Tweekanalige veiligheidsswitch ( bv. noodstop) wordt bewaakt door een tweekanalig/cat 4 gekeurde veiligheidslogica (= logica die eigen fouten detecteert en redundant is opgebouwd) Ieder kanaal van de noodstop wordt gevoed door een andere spanning, zodat kortsluiting tussen de twee kanalen kan worden gedetecteerd. Veilige uitgang stuurt twee in serie geschakelde vermogencontactoren aan/uit. Document : Pilz basiscursus functionele veiligheid page 33 of 51

34 Normaal gesloten contacten van de vermogencontactoren (mechanisch verbonden) worden bewaakt door de veiligheidslogica (= terugkoppelingscircuit) Meldcontact naar machinesturing voor tweede afschakelroute Behalen van het vereiste Performance Level (PL r ) : eisen aan de betrouwbaarheid via MTTFd De betrouwbaarheid van de componenten gebruikt in het besturingscircuit wordt bepaald door de MTTFd (mean time to dangerous failure) waarde van deze component. MTTFd wordt uitgedrukt in jaren. Indien het een mechanisch verslijtbare component betreft (zoals bv. contactoren), wordt de betrwoudbaarheid uitgedrukt via de β 10d waarde, d.i. het aantal schakelingen waarop 10% van dit type component gevaarlijk gefaald heeft. Deze waarden dienen opgegeven te worden door de fabrikant. Indien deze niet beschikbaar zijn kan beroep gedaan worden op tabellen met typische waarden in bijlage C van de norm. De MTTFd van alle delen van de veiligheidskring (sensor-input-logic) dient te worden berekend. De totale MTTFd van ieder kanaal wordt dan berekend volgens : Met i = het aantal componenten in de stuurkring Indien het om redundante (tweekanalige systemen gaat), waarbij beide kanalen een verschilleden MTTFd hebben, moet de MTTFd van ieder kanaal worden berekend. De MTTFd van het hele circuit wordt dan berekend via de symmetrisatie formule Document : Pilz basiscursus functionele veiligheid page 34 of 51

35 Concreet wordt MTTFd opgedeeld in 3 niveaus : De maximale levensduur van componenten/installatie bedraagt 20 jaar Behalen van het vereiste Performance Level (PL r ) : eisen aan de diagnose via DC (diagnostic coverage) Diagnostic Coverage is per definitie de verhouding van het aantal gevaarlijke fouten die worden gedetecteerd op het totaal aantal gevaarlijke fouten. DC wordt uitgedrukt in DC. De waarde van DC wordt is gebaseerd op statistisch onderzoek. In bijlage E van de norm staan typische waarden voor Diagnostic Coverage. Concreet wordt diagnostic coverage opgedeeld in 4 niveaus : Voorbeelden van Diagnostic Coverage : In tweekanalige systemen uitgevoerd in CAT3 : gelijktijdigheidsbewaking van de twee kanalen door veiligheidslogica haalt DC = 90% In tweekanalige systemen uitgevoerd in CAT4 : gelijktijdigheidsbewaking van de twee kanalen en korsluitingsdetectie door veiligheidslogica haalt DC = 99% Terugkoppelcircuit van de contactoren : indien enkelvoudig systeem hangt de DC af van het aantal keren dat de veiligheidsfunctie wordt getest. In redundante systemen bewaakt door geschikte veiligheidslogica (zoals CAT3/CAT4) kan 99% worden genomen. Document : Pilz basiscursus functionele veiligheid page 35 of 51

36 Behalen van het vereiste Performance Level (PL r ) : eisen aan de Common Cause (CCF) Common Cause is per definitie één oorzaak die leidt tot het falen van meerdere onderdelen in het circuit. Bv. onderdompelen van de noodstop in water, waardoor beide kanalen tegelijk niet meer functioneren, storing van beide kanalen door EMC,... Bijlage F van de norm is een vragenlijst met een overzicht van allemaal acties die de kans op Common Cause verkleinen. Iedere actie die positief beantwoord wordt, levert een aantal punten op. Om aan de criteria van Common Cause te voldoen moet minstens 65 op 100 gehaald worden. CCF is enkel van toepassing bij tweekanalige systemen. Document : Pilz basiscursus functionele veiligheid page 36 of 51

37 Behalen van het vereiste Performance Level (PL r ) : relatie tussen PL, CAT, MTTFd en DC Onderstaande tabel geeft een visueel overzicht van de relatie tussen de verschillende eisen om een bepaald Performance Level te halen : MTTF d = Laag - Low MTTF d = Gemiddeld- Medium MTTF d = Hoog - High Voorbeeld Het gewenste PL = c, : verschillende opties zijn mogelijk. De belangrijkste zijn: Categorie 1 / Geen DC / MTTF d = hoog (enkelkanalig, betrouwbare componenten) Categorie 2 / DC = Low / MTTF d = hoog (of deels gemiddeld) Categorie 2 / DC = Medium / MTTF d = hoog (of deels gemiddeld) Categorie 3 / 4 : zie tabel (maar overgedimensioneerd) In de praktijk wordt voor de validatie van de veiligheidskringen steeds gebruik gemaakt van software (zie onderstaande uitgewerkte voorbeelden). De Pilz Pascal Safety Calculator software werkt op basis van bibliotheken waar de betrouwbaarheid en opbouw van de gebruikte componenten wordt beschreven. Eigen componenten kunnen eenvoudig worden aangemaakt. Deze software bewaakt of het vooropgestelde veiligheidsniveau wordt gehaald. Document : Pilz basiscursus functionele veiligheid page 37 of 51

38 Performance Level (PL r ) : praktisch voorbeeld 1 van de robotcel het noodstopcircuit Er zijn twee noodstoppen (drukknoppen voorzien), die de volledige installatie (zowel de robot als de transportband) stoppen. De noodstoppen dienen uitgevoerd te worden volgens het grootste risico dat ze moeten stilleggen. In onze applicatie is dit het slagen en stoten van de robot. Bepalen van het Performance Level: Inschatting: a. S: 2 Ernstige gevolgen mogelijk b. E: 2 de heftruckchauffeur moet vrij frequent bij de robot zijn (>)2 maal per shift, om de pallet op te halen. c. P: 2 Verscheidene snelle bewegingen aanwezig. Praktisch Afgaande op de tabel voor het bepalen van het Performance Level, gaan we uit voor wat betreft de architectuur van een CAT4 schema. Document : Pilz basiscursus functionele veiligheid page 38 of 51

39 Praktische uitwerking en schema : Voorzie de noodstops van 2 NC-contacten (serieschakeling). De RESET-drukknop (blauw) bevindt zich op de algemene stuurkast. Aansluiting op tweekanalige veiligheidslogica, bv. PNOZ s3. Koppel dit relais terug naar de standaard-plc, zodat de bewegingen ook software-matig worden gestopt. Via Pascal Safety Calculator Software gaan we onze kring valideren naar betrouwbaardheid, Diagnostic Coverage en Common Cause Failure toe. o Noodstop: DC = 99 % (kortsluitbewaking) o Contactor: DC = 60 % (terugkoppeling, niet frequent schakelen) o Veiligheidsrelais: Pnoz s3 : fabrikantengegevens. Onderstaande figuur toont de lay out van onze schakeling in de Pascal software. We gebruiken 2 noodstoppen in serie, aangesloten op een PNOZ S3 veiligheidsrelais, die 2 in serie geschakelde contactoren afschakelen. De interne structuur, alsook de waarden voor betrouwbaarheid bevinden zich in de Pascal bibliotheek. Het open venster toont de eigenschappen van de Pilz noodstop, met een β 10d waarde van Indien een component nog niet in de bibliotheek staat, kan deze eenvoudig worden aangemaakt. Document : Pilz basiscursus functionele veiligheid page 39 of 51

40 Gezien de noodstoppen mechanisch verslijtbare componenten zijn, dienen we de software te leren hoeveel deze in de praktijk zullen schakelen. Op die manier kan de software de MTTFd waarde berekenen. Aan onze installatie wordt 200 dagen/jaar gewerkt, 16 uur per dag, en de noodstop wordt 1 keer per shift gedrukt als test. Tegelijk moeten we de software ook leren volgens welke categorie we deze noodstop aanschakelen : 1 of tweekanalig? Met of zonder kortsluitingsdetectie? De diagnostic coverage (= indicatie van het aantal gevaarlijke fouten die worden gedetecteerd) bij een sensor/noodstop, die 2 kanalig wordt aangesloten met kortsluitdetectie is 99%, indien de kanalen door een Ple gekeurde veiligheidslogica wordt geëvalueerd. Document : Pilz basiscursus functionele veiligheid page 40 of 51

41 Het veiligheidsrelais is steeds redundant opgebouwd met een Diagnostic Coverage >=99%, en de MTTFd waarde is reeds opgegeven door de fabrikant. Hierdoor moeten we verder niets configureren voor de PNOZ s3. De contactoren dienen we op dezelfde manier te configureren als de noodstop, wegens de mechanische verslijtbaarheid van de component. We nemen hier een contactor nominal load met de β 10d = (waarde uit bijlage C van de norm). Bij 2 in serie geschakelde contactoren, waarvan het terugkoppelingscircuit (=feedback) door een Ple gekeurde veiligheidslogica wordt geëvalueerd, kunnen we de Diagnostic Coverage op 99% nemen. De software informeert ons nu welk performance level we halen (zie onderstaande figuur) : Document : Pilz basiscursus functionele veiligheid page 41 of 51

42 Met deze schakeling kunnen we Performance Level e halen. (zie onderaan rechts -> achieved Performance Level). Toch halen we het niet ( zien onderaan midden -> Result = target not achieved) In het middenste veld kunnen we bekijken wat hiervan de oorzaak is : we behalen zowel voor de noodstoppen, als de logica als de contactoren Ple, maar scoren steeds 0 voor de CCF, de Common Cause Editor. We moeten nu nog de vragenlijst uit de norm invullen met acties die de kans op Common Cause (= één oorzaak leidt tot het falen van meerdere delen), verminderen. Op deze vragenlijst moeten we minstens 65 op 100 halen, om de CCF Factor te behalen. Zoals eerder vermeld heeft CCF enkel zin bij tweekanalig opgebouwde systemen. De vragenlijst uit de norm is opgenomen in de Pascal Software en kan van daaruit eenvoudig worden ingevuld. Het spreekt vanzelf dat het belangrijk is dat indien een vraag positief wordt beantwoord, hier ook in de praktijk wordt aan voldaan. Immers, alle instellingen en resultaten van de Pascal berekening, worden in rapportvorm aangeboden, en staan dus op papier. Hiermee bewijst de fabrikant dat hij aan de eisen van de machinerichtlijn voor besturing, voldoet. Indien papier en realiteit niet overeenkomen, kan hij hiervoor in gebreken worden gesteld en gesanctioneerd. Document : Pilz basiscursus functionele veiligheid page 42 of 51

43 Opmerking : De Pascal Software laat toe op een snelle, eenvoudige manier verschillende circuits te valideren en te checken of ze voldoen aan het vooropgestelde Performance Level. Alle discussies worden uitgesloten, omdat het resultaat zwart op wit op papier staat. Serieschakeling van sensoren : mocht je deze oefening opnieuw uitvoeren, en 3 ipv 2 noodstoppen in serie plaatsen, dan zal je merken dat je maximaal Pl d kan halen. Immers, door de serieschakeling gaat de diagnostic coverage verloren. De foutdetectie gebeurt namelijk door het veiligheidsrelais. De noodstop zelf heeft geen enkele mogelijkheid tot foutdetectie. Door serieschakeling vermindert de DC van 99% naar steeds lagere waarden, waardoor we in een lager PL terechtkomen. Document : Pilz basiscursus functionele veiligheid page 43 of 51

44 Performance Level (PL r ) : praktisch voorbeeld 2 van de robotcel deurbewakingscircuit Een identieke validatie van het stuurcircuit dient te worden gedaan voor de bewaking van de toegangsdeur (2) De deur wordt voorzien van een safety switch. Deze switch bewaakt de positie van de deur. Indien de deur opengaat moet de robot veilig afschakelen. We voorzien tegelijk een vergrendeling op de deur : hiermee wordt bedoeld dat we een type safety switch kiezen met een houdkracht, die ervoor zorgt dat de deur niet zomaar kan worden geopend. Immers, indien we de deur bij een werkende robot zouden openen, dan zorgt het veiligheidscircuit er inderdaad voor dat de robot onmiddelijk stopt, maar lopen we de kans dat de robot zijn last verliest. Door één risico weg te nemen, creëren we een nieuw risico. Dit lossen we op, door ervoor te zorgen dat personen enkel binnenkunnen, indien de robot een bepaalde sequentie heeft afgewerkt : hij moet eerst zijn last neerzetten, en in een vaste uitgangspositie staan. Vooraleer een operator kan binnengaan, dient hij eerst een aanvraagknop in te drukken. Via deze aanvraagknop dwingt hij de robot in deze sequentie. Pas nadat de robot zijn rustpositie heeft bereikt, zal de robot sturing de houdkracht op de safety switch verwijderen, en kan de deur worden geopend. De safety switch bewaakt op een veilige manier de positie van de deur, en schakelt het vermogen naar de robot veilig af, bij openen van de deur. Om terug op te starten, moet de operator de deur opnieuw sluiten, en op de bevestiginsgknop duwen voor reset van de deur. Als type deurswitch kiezen we voor de PSEN slock, contactloos vergrendelbare safety switch. De positie van de deur wordt bewaakt via veilige RFID technologie, gekeurd tot en met Ple. De vergrendeling gebeurt via een elektro magneet : De PSEN slock is een volledig elektronische component, en is niet slijtagegevoelig. We kennen dus onmiddellijk de MTTFd waarde. De PSEN slock heeft evenals de meeste lichtschermen op de markt, 2 OSSD outputs. Dit zijn veilige halfgeleideruitgangen (OSSD = safe semiconductor), die via een principe van pulsen op de spanning, complete kortsluitingsdetectie doen. Zowel onderlinge korsluiting tussen de 2 kanalen, als kortsluiting naar massa en of voedingsspanning worden onmiddellijk gedetecteerd. Bepalen Performance Level : gezien de safety switch de robot dient af te schakelen, moet deze evenals de noodstoppen uitgevoerd worden volgens de eisen van Ple. Document : Pilz basiscursus functionele veiligheid page 44 of 51

45 Aansluitschema Safety Circuit Evaluatie Pascal : Opmerkingen Psen slock : DC = 99 % ( kortsluitbewaking, fabrikantengegevens) Contactor: DC = 99 % (terugkoppeling, 2 in serie) Veiligheidsrelais: Pnoz s3 : fabrikantengegevens. Beide lichtschermen dienen nu op identieke wijze te worden aangepakt en gevalideerd. Document : Pilz basiscursus functionele veiligheid page 45 of 51

46 2.4.4 Safety concept detailuitwerking : diverse acties De meest voorkomende acties om risico s te reduceren zijn terug te brengen tot de mechanische en besturingstechnische, zoals beschreven in hoofdstuk en Toch zijn er steeds rest riciso s die hierdoor niet volledig worden opgevangen. Zaken die hieronder vallen zijn o.a. : Pictogrammen : als laatste fase in de risico reductie kunnen bepaalde pictogrammen worden aangebracht om mensen te wijzen op specifieke risico s. Procedures : sommige risico s kunnen enkel worden gereduceerd door specifieke procedures. Een voorbeeld hiervan is het inbeslagnemen van installaties voor spefieke interventies, zoals bv. onderhoudswerkzaamheden. Dit wordt hieronder uitvoerig beschreven Onderhoud/Inbeslagename : Op dit aspect wordt specifiek gefocust omdat het nog steeds één van de grote oorzaken is van zware ongelukken. Iemand is in de installatie voor bepaalde interventies, en een tweede persoon start de installatie ondertussen. Met inbeslagname procedures wordt dit voorkomen. In bijlage 1 van de machinerichtlijn vinden we volgende aspecten ivm onderhoud en/of inbeslagname): Onderhoud van de machine De afstel-, smeer- en onderhoudspunten moeten zich buiten de gevaarlijke zones bevinden. Afstelling, onderhoud, herstelling en reiniging moeten bij stilstaande machine kunnen plaatsvinden..... Onderdelen van geautomatiseerde machines die regelmatig moeten worden vervangen, met name vanwege een fabricagewijziging, of wanneer ze aan slijtage onderhevig zijn of mogelijkerwijs beschadigd zijn ten gevolge van een onvoorziene gebeurtenis, dienen op veilige wijze gemakkelijk gedemonteerd en opnieuw gemonteerd te kunnen worden. Deze onderdelen moeten zodanig bereikbaar zijn dat de desbetreffende taken op een door de bouwer omschreven wijze met de benodigde technische middelen (gereedschap, meetinstrument enz.) kunnen worden uitgevoerd Ontkoppeling van de krachtbronnen Elke machine moet zijn voorzien van inrichtingen waarmede zij van elk van haar krachtbronnen kan worden losgekoppeld. Deze inrichtingen moeten duidelijk herkenbaar zijn. Zij moeten vergrendeld kunnen worden indien het herstel van de aansluiting een gevaar voor blootgestelde personen zou kunnen opleveren. Bij machines die via een stekkerverbinding van elektrische energie worden voorzien, volstaat het de steker te verwijderen. De inrichting moet ook vergrendeld kunnen worden indien de bediener niet, vanaf alle plaatsen waar hij zich moet bevinden, kan controleren of de ontkoppeling voortduurt. De overblijvende of opgeslagen energie die na ontkoppeling van de machine nog aanwezig zou kunnen zijn, moet zonder gevaar voor blootgestelde personen kunnen worden afgevoerd. In afwijking van bovenstaand voorschrift is toegestaan dat bepaalde circuits niet van hun krachtbronnen kunnen worden losgekoppeld, teneinde bijvoorbeeld bepaalde delen op hun plaats te houden, bepaalde informatie te behouden, het inwendige te verlichten enz. In dit geval moeten speciale voorzorgsmaatregelen worden genomen om de veiligheid van de bedieners te waarborgen. Document : Pilz basiscursus functionele veiligheid page 46 of 51

47 Aan te bevelen is dus dat bij elk onderhoud aan de installatie, waarbij contact met bewegende machineonderdelen of delen onder spanning mogelijk is, een duidelijke inbeslagname-procedure wordt opgesteld (zowel electrisch als pneumatisch). Inbeslagname procedure Hierna wordt een overzicht gegeven van enkele verder uit te werken stappen bij een inbeslagname procedure. Vooraf Denk niet enkel aan elektriciteit als potentieel risicovolle energiebron. Er zijn verschillende andere energiebronnen die een risico kunnen inhouden. Het is belangrijk alle soorten van energiebronnen in kaart te brengen die mogelijks een onverwachte opstart, inschakeling of vrijkomen van producten en deze te vergrendelen of te blokkeren alvorens interventies uit te voeren. Deze procedure dient toegepast te worden tijdens Interventies waarvoor veiligheidsvoorzieningen verwijderd of overbrugd worden. Langdurige reinigingswerkzaamheden Revisies, langdurig nazicht Niet productie afstellingwerkzaamheden (regelingen) Onderhoudswerkzaamheden Herstellingswerkzaamheden Installatiewerkzaamheden Verplaatsing en verwijdering van installatieonderdelen Werkzaamheden waarbij onderdelen onder spanning staan (elektrische borden) Vooraleer de interventie te starten 1. Alle energiebronnen de machine moeten gekend zijn; 2. De betrokken personen zijn verwittigd dat werken zullen gebeuren; 3. Koppel alle energiebronnen af ( stroomverbreker, ) op basis van de gegevens vermeld bij de procedure (bv. steekkaart) 4. Neutraliseer alle restenergie (water, gas, in de leidingen ) op een veilige manier. 5. Vergrendel de installatie (bv. een of meerdere hangsloten op de schakelaars) 6. Test de afwezigheid van energie (druk bv. op startknop, gebruik meettoestel, ). 7. Ga na dat de vergrendeling blijft gedurende de gehele periode van werken. Na de werken 8. Breng de machine in normale werkstand, verwijder alle werktuigen, breng alle afschermingen terug aan. Gecontroleerd door de uitvoerdersverantwoordelijke; 9. Verwijdering van het hangslot, inschakeling van de voeding 10. Kijk na of de machines zonder gevaar werkt, indien niet, moet de volledige procedure van vergrendelen herhaald worden om de correcties uit te voeren; 11. Verwittig de betrokken personen dat de werken gedaan zijn en dat de machine zal opgestart worden. Belangrijk : bepaal wie deze procedures mag uitvoeren, en leg dit vast. Document : Pilz basiscursus functionele veiligheid page 47 of 51

48 Toepassing 1. Betreding zones die zijn voorzien van een vergrendelbare deur. Indien zones dienen te worden betreden gedurende bv. langere periodes, of door meerdere personen is het aan te bevelen om hier procedurele maatregels te treffen. In het voornoemd geval kan men opteren om een deurhendel te kiezen die is voorzien van een opening waarin een hangslot kan worden aangebracht. Indien bovendien meerdere personen de zone betreden kan elk van hen een eigen hangslot aanbrengen. Pas als alle sloten zijn verwijderd, kan de deur worden gesloten en de machine terug worden gestart. Inbeslagname deurhendel Meervoudige inbeslagname Document : Pilz basiscursus functionele veiligheid page 48 of 51

49 2. Werkschakelaars en/of hoofdschakelaar Bij motoren die zijn voorzien van een werkschakelaar is het ten stelligste aanbevolen om deze inrichting op te nemen in de LOTO-procedure (Lock Out Tag Out). Dezelfde regels ivm vergrendeling zijn van toepassing (zie hiervoor). Inbeslagname schakelaar Document : Pilz basiscursus functionele veiligheid page 49 of 51

50 4. Pictogrammen / signalisatie Volgende pictogrammen kunnen, samen met de vergrendelings-voorzieningen, worden gebruikt. Schakel af vooraleer te verwijderen Ten strengste verboden de transportbanden te betreden Document : Pilz basiscursus functionele veiligheid page 50 of 51