Et styresystem kan give den rigtige kommando, samtidig med at maskinen fortsætter med at bevæge sig. Den nye maskinforordning ændrer ikke grundlaget for maskinsikkerhed, men tydeliggør betydningen af, hvad der sker ved fejl. For hydraulikken betyder det, at konstruktøren må tænke længere end til det signal, der sendes til ventilen.
En brændekløver er et enkelt eksempel. Kløvecylinderen udvikler store kræfter, samtidig med at operatøren arbejder tæt på fareområdet. Derfor har brændekløvere længe været konstrueret med sikkerhedsløsninger som for eksempel afskærmning og tohåndsbetjening. Formålet er, at operatøren ikke skal kunne udsættes for den farlige bevægelse.
Denne sikkerhedstænkning er ikke ny. Maskindirektivet har allerede stillet krav om, at maskiner og deres styresystemer skal konstrueres, så fejl ikke fører til farlige situationer. Men brændekløveren illustrerer samtidig et vigtigt spørgsmål: Hvad sker der, hvis operatøren giver ordre om stop, men hydraulikken fortsætter med at bevæge sig?
Kommandoen er kun begyndelsen
Antag, at operatøren slipper betjeningsorganet. Ventilen skal gå tilbage, og cylinderen skal stoppe. En hydraulikventil er imidlertid en fysisk komponent, og for eksempel forurening, slid eller mekaniske fejl kan få den til at opføre sig anderledes end forventet.
En mulig fejlkæde kan så se sådan ud:
- operatøren slipper betjeningsorganet,
- styringen giver ordre om stop,
- ventilen får det rigtige styresignal,
- ventilspolen går ikke tilbage til den forventede position,
- hydraulikflowet ophører ikke som tilsigtet,
- cylinderen fortsætter sin bevægelse.
Styresystemet kan altså have gjort det rigtige, samtidig med at maskinen gør det forkerte. Det er forskellen mellem at beordre en sikker tilstand og at vide, at den faktisk er opnået.
Fra brændekløveren til skovmaskinen
På en moderne skovmaskine bliver det samme problem mere komplekst. Førerens bevægelse i joysticket skal passere gennem flere dele, før den bliver til en fysisk kranbevægelse:
- Joystick – føreren giver en kommando.
- Styresystem – signalet bearbejdes.
- Ventil – olieflowet reguleres.
- Hydraulik – cylindre eller motorer påvirkes.
- Mekanik – kranen udfører den faktiske bevægelse.
Hvis føreren slipper joysticket, og styresystemet beordrer ventilen til neutralstilling, kan elektronikken have fungeret præcis som tilsigtet. Men hvis ventilspolen for eksempel sætter sig fast, kan olie stadig passere, og kranen kan fortsætte med at bevæge sig.
Derfor er det ikke altid tilstrækkeligt at vide, hvilken kommando der blev sendt. Når en fejl kan skabe en farlig situation, er det vigtige spørgsmål hvad der faktisk skete ude i maskinen.
Den nye forordning styrker systemperspektivet
Den 20. januar 2027 begynder EU’s maskinforordning 2023/1230 at finde anvendelse og erstatter det nuværende maskindirektiv. Grundprincippet består: maskinen skal risikovurderes, risici skal elimineres eller reduceres gennem konstruktionen, og fejl i styresystemet må ikke føre til farlige situationer.
Det nye bør derfor ikke beskrives som, at maskiner tidligere gerne måtte blive farlige, når noget gik i stykker. Forordningen moderniserer og tydeliggør kravene, samtidig med at nutidens maskiner i stigende grad består af sammenkoblede mekaniske, hydrauliske og elektroniske systemer.
Ved konstruktionen er det derfor nødvendigt at analysere mere end normalfunktionen:
- Hvad kan gå galt?
- Kan fejlen skabe en farlig bevægelse?
- Kan systemet opdage fejlen?
- Hvilken sikker tilstand skal maskinen opnå?
- Hvordan ved systemet, at den sikre tilstand faktisk er opnået?
Først når de spørgsmål er besvaret, er det muligt at afgøre, hvilken teknisk løsning der er behov for.
Tilbagemelding kan vise, at noget ikke stemmer
En hydraulikventil med tilbagemelding kan være et af værktøjerne. Hvis styresystemet beordrer ventilen til neutralstilling, kan en tilbagemelding give information om ventilspolens faktiske position.
Forløbet kan så blive:
- styresystemet beordrer neutralstilling,
- ventilen får kommandoen,
- tilbagemeldingen viser ventilspolens faktiske position,
- kommando og faktisk position sammenlignes,
- en afvigelse kan opdages,
- styresystemet kan reagere på fejlen.
Det er en principielt vigtig forskel. Systemet behøver ikke kun at antage, at ventilen har gjort det, den fik besked på at gøre.
Det betyder dog ikke, at den nye maskinforordning generelt kræver hydraulikventiler med tilbagemelding. Tilbagemelding er et teknisk værktøj. Behovet bestemmes af risikovurderingen og den sikkerhedsfunktion, der skal opnås.
Men måler vi det rigtige?
At kende ventilspolens position er ikke nødvendigvis det samme som at kende maskinens faktiske tilstand. Hvis sikkerheden for eksempel afhænger af, at en cylinder faktisk er stoppet, kan det være selve bevægelsen eller positionen, der skal verificeres.
Afhængigt af konstruktion og risiko kan overvågningen derfor ske på forskellige niveauer:
- Ventilen: tilbagemelding viser ventilspolens position.
- Cylinderen: længdemåling eller positionssensor viser stempelpositionen.
- Maskindelen: endestopkontakter eller anden positionsregistrering verificerer den mekaniske position.
- Processen: andre relevante sensorer kan bruges til at afgøre, om en sikker tilstand er opnået.
Det centrale er altså ikke at montere så mange sensorer som muligt. Konstruktøren må først afgøre, hvad systemet skal vide for at kunne afgøre, om maskinen er sikker.
Et pumpestop betyder ikke nødvendigvis, at faren er væk
Den samme systemtænkning gælder, hvis en afskærmning på en maskine åbnes. At stoppe hydraulikpumpen kan i nogle konstruktioner være en del af sikkerhedsfunktionen, men en stillestående pumpe betyder ikke automatisk, at den hydrauliske fare er forsvundet.
Efter pumpestop kan der for eksempel stadig være:
- tryk tilbage i ledninger og cylindre,
- lagret energi i en akkumulator,
- en løftet last, som kan synke,
- eksterne kræfter, der påvirker en cylinder,
- en ventil, som ikke befinder sig i den forventede position.
Risikovurderingen skal derfor tage udgangspunkt i hvilken fare der skal håndteres, og hvilken sikker tilstand maskinen skal opnå. Pumpestoppet er én mulig foranstaltning – den sikre tilstand er målet.
Ren hydraulikolie kan også være et sikkerhedsspørgsmål
Fejlfunktioner opstår heller ikke altid dér, hvor konsekvensen bliver synlig. Forurening og slidpartikler kan transporteres med hydraulikolien fra én komponent til en anden.
En tænkelig kæde er:
- en pumpe eller en anden komponent slides,
- partikler spredes i hydrauliksystemet,
- en sikkerhedskritisk ventil påvirkes af forureningen,
- ventilens funktion ændres, eller den sætter sig fast,
- den tilsigtede sikkerhedsfunktion kan påvirkes.
Hvis en ventil for eksempel indgår i en funktion til at holde en last eller styre en bremsefunktion, kan konsekvensen blive betydeligt mere alvorlig end et almindeligt driftsstop. Teknisk renhed, korrekt filtrering og kontrol over, hvordan forurening spredes i systemet, kan derfor også være et sikkerhedsspørgsmål.
Begynd med fejlen – ikke med komponenten
Det er let at begynde en diskussion om maskinsikkerhed med spørgsmålet om, hvilket produkt der skal købes: Har vi brug for en ventil med tilbagemelding, en ekstra sensor eller en anden sikkerhedskomponent?
Risikovurderingen bør starte fra den anden ende:
- Identificér fejlen: Hvad kan gå galt?
- Vurdér konsekvensen: Kan fejlen føre til en farlig situation?
- Bestem, hvad der skal overvåges: Ventilen, cylinderen eller den faktiske maskinbevægelse?
- Bestem reaktionen: Hvad skal systemet gøre, hvis fejlen opdages?
- Verificér resultatet: Har maskinen faktisk nået en sikker tilstand?
Først derefter er det muligt at afgøre, hvilken teknologi der er behov for. I én maskine kan en relativt enkel hydraulisk løsning være tilstrækkelig. I en anden kan ventilens position skulle overvåges, mens en tredje kræver information om cylinderens eller maskindelens faktiske position.
Det er risikoen, der skal føre frem til løsningen – ikke omvendt.
Et sikkert stop skal også ske i virkeligheden
Hydrauliske systemer vil altid kunne rammes af fejl. Ventiler kan sætte sig fast, sensorer kan gå i stykker, komponenter kan slides, og forurening kan spredes i systemet. Maskinsikkerhed handler derfor ikke om at konstruere en maskine, hvor intet nogensinde kan gå galt, men om at forstå, hvad maskinen gør, når en fejl faktisk opstår.
Det bringer os tilbage til brændekløveren. Operatøren slipper betjeningsorganet og forventer, at bevægelsen stopper. På skovmaskinen slipper føreren joysticket og forventer det samme. Maskinerne er forskellige, men sikkerhedsspørgsmålet er det samme.
En stopkommando er ikke det samme som et sikkert stop. Sikkerheden skal findes i det, der faktisk sker ude i maskinen.
Artikelserie: Den nye maskinforordning
Den 20. januar 2027 begynder EU’s nye maskinforordning at finde anvendelse. I en artikelserie gennemgår Fluiden, hvad ændringen betyder for hydraulikbranchen – fra konstruktion og sikkerhedsfunktioner til CE-mærkning og ombygning af maskiner.
I næste del: Sikkerheden begynder allerede ved bestillingen. Hvilken information skal følge med fra bestiller og sælger til konstruktion, installation og idriftsættelse?
