Fouttolerantie in de machineveiligheid

De bereidheid om risico's te nemen verschilt van persoon tot persoon. Maar wat in de persoonlijke sfeer aan iedereen zelf wordt overgelaten, moet op het gebied van machineveiligheid beoordeeld en gestandaardiseerd geregeld worden. Welk risico is nog aanvaardbaar, welke fout kan fatale gevolgen hebben en onder welke voorwaarden is het vanuit normatief oogpunt toegestaan om een automatiseringssysteem met een veiligheidskritische fout voor een beperkte periode verder te laten werken?

Bij deze vragen gaat het om een nieuwe "safety"-benadering. Zo mogen besturingssystemen voor de functionele veiligheid bij een fout niet meer zomaar uitgaan. In plaats daarvan melden ze zich op tijd – en blijven ze nog gedurende een "vanuit veiligheidsoogpunt te verantwoorden periode" in werking.

Fouttolerantie betekent dat een technisch systeem kan blijven werken, ook wanneer fouttoestanden en uitvallen de werking beïnvloeden. Bij een fouttolerant systeem is behalve de foutdetectie ook een gekwalificeerde foutbeoordeling noodzakelijk. Zo kan worden beslist of de gedetecteerde fout kan worden getolereerd of toch zo ernstig is dat het onmiddellijk stopzetten (uitschakelen) onvermijdelijk is.

Zo'n foutbeoordeling is niet gebruikelijk in de "klassieke systemen van de fabrieksautomatisering" in de huidige implementaties. Zonder foutbeoordeling is een fouttolerantie echter niet mogelijk. Dit betekent dat een beslissing ten aanzien van de gefaseerde foutreactie alleen in apparaten of systemen met een passende inrichting mogelijk is. De ontwikkelaar en ook de gebruiker van een fouttolerant apparaat of systeem moeten hierbij ook nog de duur van de periode Δtdeg voor de verdere werking - in gedegradeerde toestand - vastleggen. Bovendien moeten er eventueel extra maatregelen voor risicoreductie worden gedefinieerd, die vervolgens deel uitmaken van de gebruikersinformatie. In de praktijk kan zo bijvoorbeeld een bewerkingsstap worden voltooid.

Besturingssystemen voor de functionele veiligheid helpen in de machine- en installatiebouw om de eisen aan de arbeids- en gezondheidsbescherming volgens de Machinerichtlijn (2006/42/EG) na te leven. Het uitgangspunt hiervoor zijn de risicoanalyse en risicobeoordeling op basis van EN ISO 12100. Deze norm beschrijft fundamentele gevaren en helpt de constructeur bij het identificeren van relevante en significante gevaren, die door risicobeperkende maatregelen tot een aanvaardbaar restrisico worden verminderd.

Veiligheidsmaatregelen volgens EN ISO 13849-1 en/of IEC 62061

Als er besturingstechnische veiligheidsmaatregelen worden toegepast, ontwerpen de fabrikanten deze volgens EN ISO 13849-1 en/of IEC 62061. De technische documentatie bevat informatie over de structuur van deze maatregelen, de veiligheidsgerelateerde betrouwbaarheid ervan en het reglementaire gebruik ervan.

Veilige toestand in de functionele veiligheid

Besturingssystemen voor de functionele veiligheid worden tegenwoordig zodanig ontworpen dat hun veilige toestand de toestand van energievrijheid is. Dat wil zeggen: alle gevaarlijke bewegingen worden gestopt. Dit is de juiste keuze voor alle machines en installaties waarbij de energiescheiding en dus een stop de veilige toestand is.
Voor steeds meer machines en installaties is echter een verhoogde beschikbaarheid nodig of vereist, bijvoorbeeld in het kader van Industrie 4.0. Bovendien leidt een "harde stop" eventueel tot andere gevaren, waarmee in de risicoanalyse rekening moet worden gehouden. Het dogma van energiescheiding, als enige reactie bij een fout, is dus niet meer van deze tijd.

Een werkgroep binnen het ZVEI (Zentralverband Elektrotechnik- und Elektronikindustrie) heeft - met medewerking van Pilz en het IFA (Duits Instituut voor Arbeidsveiligheid) - meerdere whitepapers opgesteld waarin de beginselen van fouttolerante apparaten en systemen voor de functionele veiligheid op machines en installaties worden beschreven. Deze whitepapers willen laten zien dat een tijdelijke werking met een verminderde veiligheidsdeelfunctie in veiligheidsgerelateerde sensoren en aandrijvingen in harmonie met de veiligheidsdoelstellingen van de Machinerichtlijn mogelijk is en niet in strijd met de geharmoniseerde normen EN ISO 13849 en EN 62061 is.
De werking in gedegradeerde toestand breekt - in overeenstemming met de normen - met het dogma van onmiddellijke energiescheiding bij een fout. Dit verhoogt de veiligheid en beschikbaarheid van machines en installaties:

• Vermindering van manipulatieprikkels
• Geen gevolgschade door uitschakeling op ongelegen momenten
• Verhoging van de productiviteit
• Gebeurtenisgerelateerd onderhoud zonder uitvaltijden

De werkgroep TASi van het ZVEI roept gebruikers en fabrikanten op om deze voordelen in machines te implementeren en zodoende bruikbaar te maken voor de exploitanten.
De whitepapers zijn in de eerste plaats bedoeld voor machinebouwers en systeemintegratoren die veiligheidsfuncties en subsystemen voor de machinebesturing ontwerpen en implementeren. Verder kan deze informatie ook worden gebruikt voor het ontwerpen van veiligheidsgerelateerde apparaten en systemen in de productontwikkeling. De whitepapers kunnen gratis worden gedownload op de website van het ZVEI

Deel 1 van het ZVEI-whitepaper

Het eerste deel van het whitepaper beschrijft de beginselen voor de werking in gedegradeerde toestand. Voorwaarde voor het gebruik van deel 2 is het in acht nemen van deel 1.

Download ZVEI-whitepaper deel 1

Deel 2 van het ZVEI-whitepaper

Het tweede deel beschrijft het implementeren van fouttolerante veiligheidsfuncties die de verdere werking van een machine of installatie in foutscenario's mogelijk maken zonder de eisen aan de bescherming van personen te verwaarlozen.

Download ZVEI-whitepaper deel 2