Digital tvilling og maskinsikkerhed: hvornår simulering før opførelse virkelig kan betale sig

Beslutningen om at investere i en digital tvilling inden for sikkerhed bør ikke være drevet af modefænomener som visualiseringer eller den generelle parole om “digitalisering af projektet”. Værdien opstår først, når modellen gør det muligt på forhånd at se det, der efter opbygningen bliver til en dyr ombygning: en konflikt mellem maskinens bevægelser og menneskets adgang, en uoverskuelig genstartssekvens, en dårligt planlagt indgriben ved fastklemning eller en zoneopdeling, som formelt ser korrekt ud, men i praksis får folk til at omgå sikkerhedsforanstaltningerne. Derfor er det egentlige spørgsmål ikke, om det kan betale sig at simulere før opbygning, men hvornår simuleringen faktisk påvirker projekteringsbeslutninger og understøtter reduktion af projektrisiko, før den bliver indbygget i konstruktionen, styreprogrammet og ansvarsfordelingen mellem leverandørerne.

De dyreste fejl opstår før montage

Inden for maskinsikkerhed begynder de mest omkostningstunge problemer sjældent ved den første idriftsættelse. De er som regel fastlagt langt tidligere: i maskinens eller linjens funktionelle arkitektur, i rækkefølgen og den indbyrdes afhængighed mellem bevægelser, i måden der gives adgang til farezoner på, i logikken for omstilling, i de planlagte operatørindgreb og i de forudsætninger, der er lagt til grund for vedligehold. Derfor afgøres værdien af en digital tvilling ikke af, at modellen findes, men af det tidspunkt, hvor den gør det muligt at træffe en bedre beslutning.

Hvis simuleringen bruges før udstyr bestilles, før layoutet af arbejdsstationerne låses, og før den endelige ansvarsfordeling mellem leverandørerne fastlægges, bliver den et værktøj til at begrænse projektrisikoen. Kommer den senere ind i forløbet, vil den ofte kun strukturere det, som allerede er afgjort af dimensioner, grænseflader, bestilte komponenter og valgte udførelsesløsninger. I den situation er dens indflydelse på sikkerheden naturligt begrænset.

Set fra projektets side er det derfor ikke afgørende, om modellen “viser maskinen” godt, men om den afspejler de beslutninger, der er vigtige for sikkerheden. En brugbar model bør vise bevægelsessekvenser, driftstilstande, de punkter hvor mennesker går ind i processen, samt sammenhængen mellem afskærmninger, tilstedeværelsesdetekterende enheder, låseanordninger og sikkerhedsrelaterede styrefunktioner. Først da kan man kontrollere, om risikovurderingen på konceptstadiet omfatter de reelle driftssituationer og ikke kun det nominelle cyklusforløb.

Det er på dette trin, at de spørgsmål viser sig, som efter opbygningen bliver de dyreste: Vil operatøren omgå afskærmningen for at fjerne en fastklemning, har serviceteknikeren sikker adgang til justeringspunkterne, skaber manuel drift en utilsigtet mulighed for at omgå sikkerhedsforanstaltningerne, eller tvinger linjens opbygning folk til at gå ind i arbejdszonen for en nabomaskine. Den største værdi af simulering ligger ikke i at forudse alt, men i at synliggøre konflikter mellem produktivitet, ergonomi og sikkerhed, før de bliver til en konstruktionsændring i produktionen eller en tvist med leverandøren.

I praksis ses det især dér, hvor man efter montage må bygge afskærmninger om, flytte sensorer, korrigere serviceadgang eller ændre sekvenslogikken, fordi en løsning, der formelt er sikker, viser sig ikke at kunne fungere i den daglige drift. En sådan korrektion er ikke kun en mekanisk eller programmeringsmæssig omkostning. Den betyder også nye iterationer af stationsdesignet, fornyede afklaringer med produktion og vedligehold og i nogle tilfælde ændringer i de forudsætninger, der tidligere blev lagt til grund i risikovurderingen.

Derfor bør simuleringens nytte ikke vurderes ud fra generelle “besparelser ved digitalisering”, men ud fra konkrete projektindikatorer: antallet af adgangspunkter, der kræver analyse, antallet af driftstilstande, der kræver særskilt vurdering, og antallet af iterationer af stationslayoutet før den endelige bestilling. Det er disse forhold, der viser, om modellen faktisk reducerer usikkerheden dér, hvor senere ændringer er sværest.

I den forstand erstatter den digitale tvilling hverken overensstemmelsesvurdering af maskiner eller den tekniske dokumentation. Den kan dog på et tidligere tidspunkt skabe grundlag for de videre beslutninger og strukturere de områder, som efter opbygningen kun bliver vanskeligere, dyrere og mere konfliktfyldte.

Hvor omkostninger og risiko reelt vokser

De største omkostninger i sikkerhedsprojekter skyldes sjældent selve valget af afskærmninger, lysgitre eller låseanordninger. De vokser, når det først efter opbygningen viser sig, at menneskets faktiske arbejde ikke passer ind i den valgte maskinmodel. De fleste problemer opstår i samspillet mellem geometri, bevægelse og procesadfærd: dér, hvor operatøren skal kunne nå emnet, se cellens tilstand, gå ind i indgrebsområdet eller udføre en handling i en kort overgangstilstand.

Hvis sådanne situationer ikke bliver kontrolleret før opbygningen, viser der sig ved montage blinde vinkler, bevægelseskollisioner, utydelige sekvenser og adgangsforhold, som formelt findes, men i praksis tvinger til besværligt eller risikofyldt arbejde. Så holder risikovurderingen op med at skabe struktur i projektet og bliver i stedet en forsinket reaktion på problemer, der allerede er bygget ind i konstruktionen.

Set fra projekteringsteamets side er det ikke de nominelle scenarier, der er sværest, men de ikke-nominelle. Det er dem, der oftest ikke stemmer overens med de forudsætninger, der er lagt ind i funktionsdiagrammet. Fjernelse af fastklemninger, rengøring, omstilling, genstart efter stop, serviceadgang og drift i særlige tilstande forløber sjældent præcis sådan, som det blev forudset i konceptfasen. I praksis opstår der behov for at understøtte en komponent, manuelt føre en akse tilbage, midlertidigt gå ind i en fælles zone eller bekræfte genstart fra et sted, hvorfra hele fareområdet ikke kan overskues.

Det er netop her, den digitale tvilling har operationel værdi. Den gør det muligt at kontrollere, om en beskyttelsesforanstaltning ikke kun er planlagt, men også kan gennemføres i den faktiske betjening. En afskærmning, der forhindrer en vedligeholdelsesopgave, en resetknap placeret uden for det naturlige observationsfelt eller en adgangsløsning, der lægger op til omgåelse af sikkerhedsforanstaltninger, er ikke små ergonomiske mangler. Det er kilder til forudsigelige afvigelser fra proceduren og dermed også kilder til risiko, forsinkelser og senere tvister om ansvar.

En god test af, om simulering er berettiget, er et enkelt tilfælde fra konceptfasen for en linje. Der var planlagt sideadgang til fjernelse af fastklemninger ved overførsel af emnet mellem to maskiner, og reset efter indgreb var placeret ved hovedpanelet. På tegningen ser løsningen korrekt ud. Først når interventionsscenariet gennemgås i modellen, bliver det tydeligt, at operatøren efter frigørelse af emnet ikke har fuldt udsyn til overførselszonen, at den anden maskine allerede kan være ved at afslutte sin egen sekvens, og at vejen til reset kræver, at man forlader det sted, hvorfra den sikre tilstand burde bekræftes. En ændring før opbygningen betyder normalt justering af adgangens placering, sekvenslogikken og bekræftelsespunktet. Den samme ændring efter montage kan omfatte ombygning af afskærmninger, kabelføringer, styreprogram og dokumentation, og ved flere leverandører også afklaring af, hvem der har ansvaret for grænsefladen, og hvilken del af installationen der skal ændres.

Derfor er det værd at måle de elementer, der kan tælles: antallet af manuelle indgreb pr. skift, antallet af adgangspunkter, antallet af scenarier for fjernelse af fastklemninger og antallet af grænseflader mellem maskiner. Det er dem, der viser, hvor manglende tidlig verifikation begynder at skabe omkostninger og uklarhed.

I robotlinjer og integrerede anlæg stiger værdien af simulering i takt med antallet af afhængigheder. Risikoen udspringer der stadig sjældnere af en enkelt maskine betragtet isoleret og stadig oftere af en sekvens af indbyrdes påvirkninger: overførsel af emnet, frigivelse af en fælles arbejdszone, gensidig bekræftelse af klarstatus, adfærd efter nødstop og betingelser for genoptagelse af bevægelse. Uden forudgående verifikation kan man overtage udstyr, som hver for sig ser korrekt ud, men som tilsammen skaber tvetydige overgangstilstande og uklare ansvarsforhold.

Hvis modellen reelt skal understøtte beslutninger, bør den også omfatte nød- og interventionssituationer, og gennemgangen bør ske med deltagelse af operatører og vedligeholdelsespersonale. Det er dem, der tidligst opdager de steder, hvor projektet begynder at fjerne sig fra praksis.

Hvornår investeringen giver operationel mening

En investering i en digital tvilling giver mening, når den gør det muligt at afklare beslutninger, hvor fejl efter montage vil være kostbare mekanisk, styringsmæssigt eller organisatorisk. Det afgørende er derfor ikke værktøjets avanceringsgrad i sig selv, men om modellen besvarer de grundlæggende projekteringsspørgsmål: hvor kompleks bevægelsen er, hvor mange interaktioner der er mellem menneske og maskine, hvor vigtige de særlige driftstilstande er, hvor omfattende integrationen af flere enheder er, og hvor byrdefuld en ændring ville være efter opbygning og idriftsættelse af anlægget.

Hvis svarene peger på et stort antal overgangstilstande, hyppige indgange i zoner, omfattende omstillings-, rengørings- eller fastklemningsfjernelsesopgaver samt høje omkostninger ved ombygning af afskærmninger, drev eller styrelogik, er simulering ikke længere en udgift “for en sikkerheds skyld”. Den bliver et værktøj til at begrænse projektrisikoen.

Det betyder dog ikke, at hver maskine kræver en fuld gengivelse af hele anlægget. I mange tilfælde er en model, der er målrettet udvalgte risici og defineret med det minimale omfang, der er nødvendigt for at træffe en beslutning, mere hensigtsmæssig. Nogle gange er det nok at kontrollere adgangszoner og operatørens udsyn. I et andet projekt vil bevægelsessekvensen under modtagelse af emnet, placeringen af afskærmninger og låseanordninger eller forløbet af serviceopgaver ved afbrudt og genetableret strømforsyning være det afgørende.

En sådan afgrænsning af omfanget er især vigtig i tilbuds- og konceptfasen, hvor teamet først og fremmest bør eliminere fejlagtige forudsætninger og ikke opbygge en omfattende model med begrænset beslutningsværdi. Det rigtige spørgsmål er derfor ikke, om man skal opbygge tvillingen “i fuldt omfang”, men hvilket minimalt modelomfang der gør det muligt at lukke åbne risici før bestilling af udstyr og indarbejde konklusionerne i de tekniske krav til leverandøren.

En forudsætning for, at simuleringen er brugbar, er også et klart beslutningsansvar. Hvis det ikke på forhånd er tydeligt, hvilke spørgsmål modellen skal afklare, og hvem der godkender konklusionerne hos både investor og leverandør, bliver modellen hurtigt til en præsentation uden reel indflydelse på projektet. Derfor er det en god idé allerede inden opstart at fastlægge, om simuleringen skal bekræfte, at afskærmningskonceptet er acceptabelt, påvise at indgreb kan udføres uden at omgå beskyttelsesforanstaltninger, kontrollere logikken for sikker genstart efter stop eller afdække de steder, hvor mennesker og automatik kommer i konflikt med hinanden.

I praksis fungerer det godt at kombinere modellen med en workshopbaseret analyse af brugsscenarier, gennemført i fællesskab af konstruktion, automatik, sikkerhed, produktion og vedligehold. Så kommenterer deltagerne ikke kun på selve grafikken, men gennemgår scenarier for normal og unormal drift, og konklusionerne kan lukkes trinvis: på konceptstadiet, før detailprojekteringen og før overtagelse.

• hvilke scenarier der skal verificeres, før udstyr bestilles,
• hvilke konstruktionsændringer der fulgte af gennemgangen af modellen,
• hvor mange risici der fortsat er åbne efter afslutningen af det aftalte simuleringsomfang.

Den største værdi ligger derfor ikke i selve det rumlige billede, men i at få struktureret projektets uenigheder, før de flytter ud i produktionshallen. Hvis teamet analyserer en celle med robot, transportør og en station for manuel indgriben, bør modellen besvare helt konkrete spørgsmål: om adgang til zonen under afhjælpning af fastklemning kræver omgåelse af afskærmninger, om genoptagelse af bevægelse efter nødstop ikke sætter naboudstyr i gang på en måde, der overrasker operatøren, og om servicepersonalet reelt har adgang til justeringspunkter uden at demontere beskyttelsesforanstaltninger.

På dette trin bliver også de omkostningskategorier synlige, som normalt ikke fremgår af en forenklet tidsplan: ombygning af hegn og fundamenter, ændringer i kabling og PLC-indgange, korrektioner i software, yderligere afklaringer af ansvar mellem leverandører samt forskydninger i overtagelsen som følge af fornyet kontrol af beskyttelsesforanstaltninger. Det er også her, man beslutter, om modellen skal opbygges internt, eller om den skal kræves leveret af integratoren som en del af det aftalte arbejdsomfang og i nogle projekter også som et krav ved overtagelsen.

For at dette arbejde ikke skal forsvinde i møder, skal modellens omfang lukkes dokumentationsmæssigt. Konklusionerne fra simuleringen bør føres tilbage til de tekniske krav, funktionsdiagrammer, forudsætninger for instruktioner og til materiale, der understøtter overensstemmelsesvurdering. Selve den digitale tvilling erstatter hverken risikovurderingen eller den efterfølgende overensstemmelsesvurdering, men den kan strukturere inputmaterialet og synliggøre, hvor forudsætningerne for sikkerhedsfunktioner i styresystemet, adgang til zoner og adfærd i særlige driftstilstande kræver præcisering.

Først projekteringsbeslutningen, derefter den normative reference

I praksis er det værd at holde en enkel rækkefølge: først afklare, hvad modellen skal bruges til, og først derefter henvise til de formelle krav. Den digitale tvilling er ikke i sig selv et middel til at bekræfte overensstemmelse og erstatter hverken risikovurderingen eller den efterfølgende overensstemmelsesvurdering før CE-mærkning. Dens rolle ligger tidligere og er mere praktisk: at efterprøve forudsætninger, afdække konflikter mellem teknologi, adgang, vedligehold og arbejdsorganisation samt hjælpe med at projektere beskyttelsesforanstaltninger, før de bliver til dyre ombygninger.

Denne sondring har betydning for både struktur og projektering. Hvis teamet behandler modellen som et dokumentationsværktøj i sig selv, er det let at samle imponerende billeder uden kobling til tekniske krav, sikkerhedsfunktioner, begrænsninger i brugen og maskinens tekniske dokumentation. For producenten eller integratoren i Polen og EU bliver simuleringen først nyttig, når resultatet kan beskrives i projektets eget sprog.

Der bør komme konkrete beslutninger ud af modellen: hvor adgangen til zonen skal placeres, hvilke driftstilstande der er tilladte, hvornår bevægelse må frigives, hvilke genstartsforhold der er acceptable, og hvilke forudsætninger der direkte skal overføres til overtagelseskravene. Det er også det rette sted at opdele ansvaret mellem leverandørerne. Den digitale model forbliver et projekteringsværktøj, risikovurderingen er en proces til identifikation af farer og valg af risikoreducerende foranstaltninger, og overensstemmelsesvurderingen er den formelle bekræftelse af, at de relevante krav er opfyldt. Når disse niveauer blandes sammen, ender det som regel med, at der er meget materiale, men kun begrænset værdi i forhold til overtagelsen.

Et godt eksempel behøver ikke handle om avanceret teknologi. Det kan være en helt almindelig celle med automatisk emnetilførsel og lejlighedsvis operatøradgang for at fjerne fastklemninger. Modellen viste, at den oprindeligt planlagte serviceadgang krævede en uklar sekvens for stop og genstart og samtidig lagde op til at omgå de driftsmæssige forudsætninger i manuel tilstand. Før konstruktionen blev etableret, ændrede man derfor konceptet: adgangspunktet blev flyttet, rækkefølgen af handlinger blev forenklet, og tilfælde med kortvarig indgriben blev adskilt fra fuld adgang til zonen. Selve simuleringen “godkendte” ikke noget, men gjorde det muligt at træffe en tidligere beslutning, som begrænsede senere mekaniske ombygninger, præciserede kravene til styresystemet og gjorde dialogen om producentens og integratorens ansvar for den valgte løsning enklere.

Først på dette trin giver en normativ henvisning mening. Konklusionerne fra modellen bør indgå i risikovurderingen, beskrivelsen af de valgte beskyttelsesforanstaltninger, forudsætningerne for brugsanvisningen samt materialet til den tekniske dokumentation. I praksis er det værd at bevare ikke kun selve animationen, men også beslutningssporet: modelversionen, omfanget af de anvendte forenklinger, drifts- og indgrebsscenarier, kollisioner identificeret i simuleringen, de designbeslutninger der blev truffet på den baggrund, samt oplysninger om, hvem der har ansvaret for at holde modellen ajour efter projektændringer.

I processen for overensstemmelsesvurdering af maskiner erstatter sådant materiale ikke verifikation på det faktiske anlæg, men det strukturerer begrundelsen for, hvorfor en bestemt løsning blev valgt, og hvor i risikovurderingen den blev behandlet. Det har særlig betydning i projekter med flere leverandører, hvor manglen på et sammenhængende beslutningsspor hurtigt udvikler sig til en tvist om omfanget af og omkostningerne ved ændringer.

Konklusionen er nøgtern. Det er værd at investere i simulering, ikke fordi det er blevet et obligatorisk element i projektpræsentationen, men fordi nogle sikkerhedsfejl kun er billige at rette, så længe de stadig kun findes i projektet. Hvis modellen hjælper med at træffe beslutninger om adgangsarkitektur, arbejdssekvens, sikkerhedsfunktioner og begrænsninger i brugen, understøtter den reelt risikovurderingen og forberedelsen til overensstemmelsesvurdering. Hvis den ender som en visualisering uden omsætning til tekniske krav og dokumentation fra producenten eller integratoren, bliver den en omkostning, som hverken forkorter vejen til godkendelse eller forbedrer maskinens sikkerhed.