Een veiligheidshek, deurvergrendeling of lichtscherm is pas werkelijk effectief als de volledige veiligheidsfunctie klopt. De veiligheidscategorieën volgens EN ISO geven richting aan de opbouw van het besturingssysteem achter die functie. Daarmee wordt duidelijk hoe een machine veilig moet reageren bij een storing, kabelbreuk, defecte sensor of fout in de besturing.
Voor productiebedrijven, logistieke locaties en machinebouwers is dat geen theoretische exercitie. Een verkeerd gekozen categorie kan betekenen dat een afscherming fysiek aanwezig is, maar dat een gevaarlijke beweging bij een fout toch niet betrouwbaar stopt. Andersom leidt een zwaardere uitvoering dan nodig tot onnodige complexiteit, kosten en storingsgevoeligheid. De juiste keuze begint daarom bij risicoanalyse en eindigt bij aantoonbare validatie.
Wat beschrijven veiligheidscategorieën volgens EN ISO?
EN ISO 13849-1 beschrijft de veiligheidsgerelateerde delen van besturingen, vaak aangeduid als SRP/CS. Daaronder vallen niet alleen een veiligheidsrelais of veiligheids-PLC, maar de hele keten: sensor, bekabeling, logica, uitgangen en actuatoren zoals contactoren, frequentieregelaars of veilige aandrijffuncties.
De categorie beschrijft vooral de architectuur en het gedrag bij fouten. Kan één fout leiden tot verlies van de veiligheidsfunctie? Worden fouten gedetecteerd? En wat gebeurt er als meerdere fouten zich in de tijd opstapelen? Dat zijn de vragen die een categorie beantwoordt.
Een categorie is echter niet hetzelfde als het vereiste of bereikte Performance Level, kortweg PL. Het Performance Level drukt de betrouwbaarheid van de veiligheidsfunctie uit op een schaal van PL a tot en met PL e. De categorie is één van de factoren die bepaalt of dat niveau haalbaar is. Ook de betrouwbaarheid van componenten, de diagnosegraad, maatregelen tegen fouten door gemeenschappelijke oorzaak en de kwaliteit van de veiligheidsprincipes tellen mee.
De vijf categorieën in de praktijk
De norm onderscheidt de categorieën B, 1, 2, 3 en 4. Zij vormen geen eenvoudige rangorde die u zonder risicoanalyse kunt doorlopen. Wel neemt de fouttolerantie in grote lijnen toe van B naar 4.
- Categorie B gebruikt basisveiligheidsprincipes. Een fout kan leiden tot verlies van de veiligheidsfunctie. Deze categorie past alleen bij beperkte risico’s en vormt vaak het uitgangspunt voor een eenvoudige veiligheidsfunctie.
- Categorie 1 bouwt voort op categorie B met beproefde onderdelen en beproefde veiligheidsprincipes. De betrouwbaarheid is hoger, maar een fout kan nog steeds het verlies van de veiligheidsfunctie veroorzaken.
- Categorie 2 test de veiligheidsfunctie met vaste tussenpozen. Een fout kan tussen twee tests aanwezig zijn. De gekozen testfrequentie moet dus passen bij het risico en de toepassing.
- Categorie 3 is zo ontworpen dat één afzonderlijke fout niet tot verlies van de veiligheidsfunctie leidt. Waar redelijk uitvoerbaar worden fouten gedetecteerd. Een opeenstapeling van niet-gedetecteerde fouten kan nog wel tot verlies leiden.
- Categorie 4 zorgt ervoor dat één fout niet tot verlies van de veiligheidsfunctie leidt en dat de ophoping van fouten wordt gedetecteerd. Dit is bedoeld voor veiligheidsfuncties met zeer hoge eisen aan fouttolerantie en diagnose.
Neem een toegangsdeur naar een robotcel. Bij een categorie 3- of 4-oplossing wordt de deurpositie doorgaans met twee kanalen bewaakt. De veiligheidslogica controleert de signalen op plausibiliteit en schakelt de gevaarlijke beweging via redundante of bewaakte uitgangen af. Een enkele draadbreuk, een defect contact of een fout in één kanaal mag niet betekenen dat de robot kan blijven draaien terwijl de deur geopend is.
Bij categorie 2 kan een testconcept passend zijn, maar alleen als een eventueel onontdekte fout binnen een aanvaardbare tijd wordt gevonden. Dat vraagt om een zorgvuldige beoordeling van de testmethode en de interval. Een dagelijkse functionele controle door de operator is iets anders dan een automatische diagnose tijdens iedere machinecyclus.
Begin met de veiligheidsfunctie, niet met het product
In de praktijk gaat het geregeld mis doordat direct een component wordt geselecteerd: een bepaald lichtscherm, een deurvergrendeling of een veiligheidsrelais. De juiste volgorde is anders. Eerst moet helder zijn welke veiligheidsfunctie nodig is, onder welke omstandigheden die wordt aangesproken en welke veilige toestand de machine moet bereiken.
Een veiligheidsfunctie kan bijvoorbeeld luiden: bij opening van de toegangspoort moet de pers binnen de vastgestelde stoptijd stoppen en mag herstart pas mogelijk zijn nadat de poort is gesloten en een bewuste reset buiten de gevarenzone is gegeven. Deze omschrijving bevat al belangrijke ontwerpkeuzes. Denk aan de stopfunctie, de bewaakte toegang, het voorkomen van onverwacht herstarten en de locatie van de reset.
De risicoanalyse volgens EN ISO 12100 vormt hiervoor de basis. Daarbij beoordeelt u de ernst van mogelijk letsel, de blootstellingsfrequentie en de mogelijkheden om gevaar te vermijden. Op basis daarvan wordt per veiligheidsfunctie een vereist Performance Level bepaald: PLr. Pas daarna volgt de technische uitwerking die dat PLr aantoonbaar moet realiseren.
Waarom categorie en PL altijd samen beoordeeld worden
Een veelgehoorde uitspraak is dat een machine categorie 3 moet zijn. Technisch gezien is die uitspraak te algemeen. Niet de gehele machine heeft één categorie, maar iedere veiligheidsfunctie krijgt een passende beoordeling. Een noodstop, een veiligheidsdeur en een veilige snelheidsbewaking kunnen dus verschillende eisen hebben.
Bovendien levert categorie 3 niet automatisch een bepaald PL op. Een redundant systeem met componenten die weinig betrouwbaar zijn, onvoldoende diagnose hebben of gevoelig zijn voor een gemeenschappelijke oorzaak kan tekortschieten. Denk aan twee kabels die samen in dezelfde kabelgoot beschadigd kunnen raken, twee contactoren die beide kunnen vastlassen door dezelfde belasting, of twee identieke sensoren die op dezelfde manier verkeerd zijn gemonteerd.
Voor de berekening en onderbouwing worden onder meer deze onderdelen beoordeeld:
- de gemiddelde tijd tot gevaarlijk falen van componenten;
- de diagnosegraad van het systeem;
- maatregelen tegen fouten door gemeenschappelijke oorzaak;
- de gebruikte veiligheidsprincipes en weerstand tegen systematische fouten;
- de structuur van de veiligheidsfunctie en de kwaliteit van de validatie.
Dit verklaart ook waarom een eenvoudige vervanging van een standaardrelais door een veiligheidsrelais niet altijd voldoende is. Het relais kan geschikt zijn, terwijl de aansluitwijze, terugkoppeling van contactoren, stopgedrag van de aandrijving of resetlogica de totale functie alsnog onveilig maakt.
Ontwerpen voor de werkvloer
Een normconforme oplossing moet ook werkbaar zijn. Wanneer een deurvergrendeling de machine onnodig lang blokkeert, bestaat het risico dat medewerkers een bypass zoeken. Wanneer de resetknop binnen de gevarenzone zit, kan een medewerker de machine herstarten zonder volledig zicht op de situatie. En wanneer een lichtscherm te dicht op het gevaarpunt staat, is de stoptijd mogelijk te lang om ingrijpen te voorkomen.
Daarom horen mechanische beveiliging, besturingstechniek en dagelijkse bediening bij elkaar. Bij een bestaande machine kan dat betekenen dat eerst de nalooptijd wordt gemeten, dat een afscherming wordt aangepast of dat een veilige stopfunctie van de aandrijving wordt toegepast. De categorie van de besturing lost een tekort in afschermingsafstand of toegangspreventie niet zelfstandig op.
Ook onderhoud verdient aandacht. Veiligheidscomponenten moeten herkenbaar zijn in schema’s, instellingen van veiligheids-PLC’s moeten beheerst worden gewijzigd en periodieke controles moeten aansluiten op de werkelijk aanwezige risico’s. Bij categorie 2 is het testinterval expliciet onderdeel van het veiligheidsconcept. Bij categorie 3 en 4 blijft controle nodig, ook wanneer diagnosefuncties veel fouten automatisch signaleren.
Validatie maakt de onderbouwing compleet
Een ontwerp is niet aantoonbaar veilig omdat het op papier logisch lijkt. EN ISO 13849-2 richt zich op de validatie van veiligheidsfuncties. Daarbij wordt gecontroleerd of de veiligheidsfunctie voldoet aan de specificatie, de berekening en de praktische uitvoering.
Dat vraagt om meer dan een druk op de noodstop. Test bijvoorbeeld iedere deur, ieder lichtscherm en iedere resetfunctie. Controleer of een draadbreuk, kortsluiting of foutmelding wordt herkend voor zover het ontwerp dat vereist. Beoordeel of contactoren daadwerkelijk afvallen, of terugkoppelingen juist werken en of de machine na herstel niet onverwacht herstart. Leg resultaten, schema’s, parameters, berekeningen en afwijkingen vast in het technisch dossier.
Voor bestaande installaties is een gerichte inventarisatie vaak de meest efficiënte eerste stap. Breng de aanwezige veiligheidsfuncties in kaart, toets de documentatie aan de werkelijkheid en bepaal waar risico, Performance Level en uitvoering niet op elkaar aansluiten. Vervolgens kunnen verbeteringen worden gepland tijdens regulier onderhoud of een geplande productiestop, zodat veiligheid en beschikbaarheid samen worden beheerd.
Wie veiligheidscategorieën volgens EN ISO goed toepast, kiest niet simpelweg voor meer techniek. De waarde zit in een veiligheidsfunctie die bij een reëel risico past, aantoonbaar doet wat is afgesproken en ook na onderhoud of proceswijzigingen betrouwbaar blijft functioneren. Dat is de basis voor een veilige én beheersbare operatie.
