Digital twin en machineveiligheid: wanneer simulatie vóór de bouw echt loont

De beslissing om te investeren in een digital twin op het gebied van veiligheid mag niet voortkomen uit een hype rond visualisaties of uit het algemene motto van “digitalisering van het project”. Zo’n aanpak heeft pas echt waarde wanneer het model vroegtijdig zichtbaar maakt wat na de bouw een kostbare aanpassing wordt: een conflict tussen machinebeweging en menselijke toegang, een onduidelijke herstartvolgorde, een slecht ontworpen ingreep bij een blokkade of een zone-indeling die er formeel correct uitziet, maar in de praktijk aanzet tot het omzeilen van beveiligingen. Daarom is de vraag niet óf het zinvol is om vóór de bouw te simuleren, maar wanneer simulatie daadwerkelijk invloed heeft op ontwerpbeslissingen en helpt bij het beperken van projectrisico’s, voordat die vast komen te liggen in de constructie, de besturingssoftware en de verdeling van verantwoordelijkheden tussen leveranciers.

De duurste fouten ontstaan vóór de montage

Bij machineveiligheid beginnen de duurste problemen zelden bij de eerste inbedrijfstelling. Meestal liggen ze al veel eerder vast: in de functionele architectuur van de machine of lijn, in de volgorde en onderlinge afhankelijkheden van bewegingen, in de manier waarop toegang tot gevarenzones is geregeld, in de logica van omstellingen, in de voorziene ingrepen van de operator en in de aannames voor onderhoud. Daarom wordt de waarde van een digital twin niet bepaald door het enkele bestaan van een model, maar door het moment waarop je er een betere beslissing op kunt baseren.

Als de simulatie werkt vóór de bestelling van apparatuur, vóór het vastleggen van de opstelling van werkplekken en vóór de definitieve verdeling van verantwoordelijkheden tussen leveranciers, wordt zij een instrument om projectrisico’s te beperken. Komt zij later in beeld, dan ordent zij vaak alleen nog wat in feite al is vastgelegd door afmetingen, interfaces, bestelde componenten en gekozen uitvoeringsoplossingen. In zo’n situatie is de invloed op de veiligheid van nature beperkt.

Vanuit projectperspectief is dus niet doorslaggevend of het model de machine goed “laat zien”, maar of het beslissingen weergeeft die voor de veiligheid van belang zijn. Een bruikbaar model moet bewegingssequenties, bedrijfsmodi, momenten waarop de mens het proces betreedt en de samenhang tussen afschermingen, aanwezigheidsdetectie, vergrendelingen en veiligheidsgerelateerde besturingsfuncties tonen. Pas dan kan worden nagegaan of de risicobeoordeling in de conceptfase uitgaat van reële gebruikssituaties en niet alleen van het nominale cyclische verloop.

In deze fase komen de vragen naar voren die na de bouw het duurst worden: zal de operator een afscherming omzeilen om een blokkade op te heffen, heeft de servicemonteur veilige toegang tot afstelpunten, creëert de handmatige modus geen onbedoelde route om beveiligingen te omzeilen, dwingt de lijnopstelling niet tot het betreden van de werkzone van een aangrenzende machine. De grootste waarde van simulatie ligt niet in het voorspellen van alles, maar in het zichtbaar maken van conflicten tussen productiviteit, ergonomie en veiligheid, voordat die uitmonden in een constructiewijziging op de werkvloer of in een geschil met de leverancier.

In de praktijk is dat vooral zichtbaar waar na montage afschermingen moeten worden aangepast, sensoren moeten worden verplaatst, servicetoegang moet worden gecorrigeerd of de sequentielogica moet worden gewijzigd, omdat een formeel veilige oplossing in de dagelijkse bediening onwerkbaar blijkt. Zo’n correctie is niet alleen een mechanische of softwarematige kost. Ze betekent ook extra iteraties van het werkplekontwerp, nieuwe afstemming met productie en onderhoud, en soms een wijziging van de aannames die eerder in de risicobeoordeling zijn gehanteerd.

Daarom is het zinvol om de bruikbaarheid van simulatie niet te beoordelen aan de hand van algemene “besparingen door digitalisering”, maar via concrete projectindicatoren: het aantal toegangspunten dat analyse vereist, het aantal bedrijfsmodi dat een afzonderlijke beoordeling vraagt en het aantal iteraties van de werkplekopstelling vóór de uitvoeringsbestelling. Juist die laten zien of het model de onzekerheid werkelijk vermindert waar een latere wijziging het moeilijkst is. Dat sluit ook aan bij een realistische budgettering van CE-certificering.

In die zin vervangt een digital twin noch de conformiteitsbeoordeling van machines, noch de technische documentatie. Wel kan hij eerder input leveren voor verdere beslissingen en de gebieden structureren die na de bouw alleen maar lastiger, duurder en conflictgevoeliger worden. Daarna volgen nog verdere verificatiestappen, zoals FAT.

Waar kosten en risico echt toenemen

De grootste kosten in veiligheidsprojecten vloeien zelden voort uit alleen de keuze van afschermingen, lichtschermen of vergrendelingen. Ze lopen op wanneer pas na de bouw van het systeem blijkt dat het werkelijke handelen van de mens niet past binnen het aangenomen machinemodel. De meeste problemen ontstaan op het snijvlak van geometrie, beweging en procesgedrag: daar waar de operator een onderdeel moet kunnen bereiken, de toestand van de cel moet kunnen zien, een interventiegebied moet betreden of een handeling moet uitvoeren in een korte overgangstoestand.

Als zulke situaties niet vóór de bouw worden getoetst, komen tijdens de montage dode zichtzones, bewegingsconflicten, onduidelijke sequenties en toegangen aan het licht die formeel wel bestaan, maar in de praktijk leiden tot onhandig of risicovol werken. Dan houdt de risicobeoordeling op het project te structureren en wordt zij een te late reactie op problemen die al in het ontwerp besloten liggen.

Voor het ontwerpteam zijn niet de nominale, maar juist de niet-nominale scenario’s het lastigst. Die wijken het vaakst af van de aannames uit het functionele schema. Het opheffen van blokkades, reinigen, omstellen, herstarten na stilstand, servicetoegang en werken in speciale modi verlopen zelden precies zoals dat in de conceptfase was voorzien. In de praktijk blijkt dan behoefte te ontstaan aan het ondersteunen van een onderdeel, het handmatig terugzetten van een as, het tijdelijk betreden van een gezamenlijke zone of het bevestigen van een herstart vanaf een plek vanwaar niet het volledige gevarengebied zichtbaar is.

Juist hier heeft een digital twin operationele waarde. Daarmee kan worden nagegaan of een beschermingsmaatregel niet alleen is voorzien, maar ook uitvoerbaar is in de werkelijke bediening. Een afscherming die een onderhoudshandeling onmogelijk maakt, een resetknop buiten het logische observatieveld of een toegang die het omzeilen van beveiligingen uitlokt, zijn geen kleine ergonomische tekortkomingen. Het zijn bronnen van voorspelbare afwijkingen van de procedure, en dus ook bronnen van risico, vertraging en latere discussies over verantwoordelijkheid.

Een goede toets voor de zin van simulatie is een eenvoudig voorbeeld uit de conceptfase van een lijn. Er was zijtoegang voorzien voor het opheffen van blokkades bij de overdracht van een detail tussen twee machines, en de reset na de ingreep was bij het hoofdbedieningspaneel geplaatst. Op de tekening ziet die oplossing er correct uit. Pas wanneer het interventiescenario in het model wordt doorlopen, blijkt dat de operator na het vrijmaken van het detail geen volledig zicht heeft op de overdrachtszone, dat de tweede machine haar eigen sequentie mogelijk al afrondt en dat de weg naar de reset vereist dat de operator de plek verlaat vanwaar de veilige toestand eigenlijk bevestigd zou moeten worden. Een wijziging vóór de bouw betekent meestal een correctie van de positie van de toegang, de sequentielogica en het bevestigingspunt. Dezelfde wijziging na montage kan een ombouw van afschermingen, kabeltracés, het besturingsprogramma en de documentatie omvatten, en bij meerdere leveranciers ook de vraag oproepen wie verantwoordelijk is voor de interface en welk deel van de installatie moet worden aangepast. Zulke problemen komen vaak pas echt naar voren bij SAT.

Daarom is het zinvol om elementen te meten die kwantificeerbaar zijn: het aantal handmatige interventies per ploeg, het aantal toegangspunten, het aantal scenario’s voor het opheffen van blokkades en het aantal interfaces tussen machines. Juist die laten zien waar het ontbreken van eerdere verificatie kosten en onduidelijkheid begint te veroorzaken. Zulke projectindicatoren helpen ook bij de budgettering van verborgen projectkosten.

Bij gerobotiseerde lijnen en geïntegreerde systemen neemt de waarde van simulatie toe naarmate het aantal afhankelijkheden groeit. Het risico vloeit daar steeds minder voort uit één afzonderlijk beschouwde machine en steeds vaker uit een reeks onderlinge interacties: de overdracht van een detail, het vrijgeven van een gezamenlijke werkzone, het wederzijds bevestigen van gereedheid, het gedrag na een noodstop en de voorwaarden voor het hervatten van beweging. Zonder voorafgaande verificatie kunnen installaties worden geaccepteerd die afzonderlijk correct lijken, maar samen onduidelijke overgangstoestanden en hiaten in de verantwoordelijkheden creëren.

Als het model beslissingen daadwerkelijk moet ondersteunen, moet het ook nood- en interventiesituaties omvatten, en is het verstandig de review uit te voeren met deelname van operators en de technische dienst. Zij signaleren het vroegst waar het ontwerp begint af te wijken van de praktijk.

Wanneer de investering operationeel zinvol is

Investeren in een digital twin is zinvol wanneer daarmee beslissingen kunnen worden genomen waarvan een fout na montage mechanisch, besturingstechnisch of organisatorisch kostbaar zou zijn. Niet de mate van geavanceerdheid van de tool is dus doorslaggevend, maar of het model antwoord geeft op de basisvragen van het ontwerp: hoe complex de beweging is, hoeveel interactie er is tussen mens en machine, hoe belangrijk de speciale modi zijn, hoe breed de integratie van meerdere installaties is en hoe ingrijpend een wijziging zou zijn nadat het systeem is gebouwd en in bedrijf is genomen. De waarde van zo’n model hangt dus af van het moment waarop het nog mogelijk is om op basis ervan een betere ontwerpbeslissing te nemen, zoals ook speelt bij de automatisering van productieprocessen.

Als de antwoorden wijzen op een groot aantal overgangstoestanden, frequente betreding van zones, uitgebreide omstel-, reinigings- of ontblokkeringshandelingen en hoge kosten voor het aanpassen van afschermingen, aandrijvingen of besturingslogica, dan is simulatie geen uitgave meer “voor de zekerheid”. Dan wordt het een instrument om ontwerprisico te beperken.

Dat betekent echter niet dat elke machine een volledige weergave van het hele object vereist. In veel gevallen is een model dat gericht is op geselecteerde risico’s verstandiger, met een minimaal gedefinieerde scope die nodig is om een beslissing te nemen. Soms volstaat het om toegangsgebieden en de zichtbaarheid voor de operator te toetsen. In een ander project zijn juist de bewegingssequentie tijdens de productovername, de plaatsing van afschermingen en vergrendelingsvoorzieningen of het verloop van servicehandelingen bij afgeschakelde en herstelde voeding doorslaggevend. Voor die servicehandelingen zijn ook duidelijke Lockout Tagout-procedures van belang.

Een dergelijke afbakening van de scope is vooral belangrijk in de offerte- en conceptfase, wanneer het team in de eerste plaats onjuiste aannames moet elimineren en niet een uitgebreid model moet opbouwen met geringe beslissingswaarde. De juiste vraag is daarom niet of een twin “in volledige omvang” moet worden opgebouwd, maar welke minimale modelscope het mogelijk maakt om openstaande risico’s af te sluiten vóór de bestelling van installaties en de conclusies op te nemen in de technische eisen voor de leverancier. Het model vervangt daarbij geen latere verificatie, maar levert wel input voor verdere beslissingen en tests, bijvoorbeeld tijdens FAT.

Voor de bruikbaarheid van een simulatie is ook een duidelijke besluitverantwoordelijkheid nodig. Als vooraf niet duidelijk is welke vragen het model moet beantwoorden en wie de conclusies aan de kant van de investeerder en de leverancier goedkeurt, verwordt het model al snel tot een presentatie zonder echte invloed op het project. Het is daarom verstandig om vóór de start vast te leggen of de simulatie de aanvaardbaarheid van het afschermingsconcept moet bevestigen, moet aantonen dat een ingreep mogelijk is zonder beveiligingen te omzeilen, de logica van een veilige herstart na stilstand moet toetsen of de punten zichtbaar moet maken waar mens en automatisering met elkaar in conflict komen.

In de praktijk werkt een combinatie van het model met een workshopmatige analyse van gebruiksscenario’s goed, uitgevoerd door engineering, automatisering, veiligheid, productie en onderhoud. De deelnemers bespreken dan niet alleen de visualisatie, maar lopen scenario’s van normale en afwijkende werking door, waarna conclusies stapsgewijs kunnen worden vastgelegd: in de conceptfase, vóór het uitvoeringsontwerp en vóór de oplevering.

• welke scenario’s vóór het bestellen van apparatuur moeten worden geverifieerd,
• welke constructieve wijzigingen uit de modelreview zijn voortgekomen,
• hoeveel risico’s na afronding van de afgesproken simulatierange nog openstaan.

De grootste waarde zit dus niet in het ruimtelijke beeld op zich, maar in het ordenen van het ontwerpconflict voordat het zich naar de werkvloer verplaatst. Als het team een cel met een robot, transportband en handmatige interventiepost analyseert, moet het model heel concrete vragen beantwoorden: dwingt toegang tot de zone bij het verhelpen van een blokkade niet tot het omzeilen van afschermingen, leidt het hervatten van de beweging na een noodstop niet tot het onverwacht starten van een aangrenzend apparaat voor de bediening, en heeft de service daadwerkelijk toegang tot afstelpunten zonder beveiligingen te demonteren.

In deze fase worden ook kostencategorieën zichtbaar die in een vereenvoudigde planning meestal buiten beeld blijven: aanpassing van hekwerken en funderingen, wijzigingen in bekabeling en PLC-ingangen, correcties in de software, extra afstemming van verantwoordelijkheden tussen leveranciers en verschuiving van de oplevering door hernieuwde controle van beschermingsmaatregelen. Dit is ook het moment om te beslissen of het model intern wordt opgebouwd of van de integrator wordt geëist als onderdeel van de afgesproken scope, en in sommige projecten ook als opleververeiste.

Om te voorkomen dat dit werk in losse overleggen verwatert, moet de scope van het model ook documentair worden afgesloten. De conclusies uit de simulatie moeten terugkomen in de technische eisen, functionele schema’s, uitgangspunten voor de handleiding en in het materiaal dat de conformiteitsbeoordeling ondersteunt. De digitale tweeling zelf vervangt noch de risicobeoordeling, noch de latere conformiteitsbeoordeling, maar kan de input structureren en zichtbaar maken waar de aannames voor de veiligheidsfuncties van het besturingssysteem, de toegang tot zones en het gedrag in speciale modi nadere uitwerking vereisen.

Eerst de ontwerpbeslissing, daarna de normatieve verwijzing

In de praktijk is het verstandig een eenvoudige volgorde aan te houden: eerst bepalen waarvoor het model moet dienen, en pas daarna verwijzen naar formele eisen. Een digitale tweeling is geen zelfstandig middel om conformiteit aan te tonen en vervangt noch de risicobeoordeling, noch de latere conformiteitsbeoordeling vóór de CE-markering. De rol ervan ligt eerder en is praktischer: aannames toetsen, conflicten tussen technologie, toegang, onderhoud en werkorganisatie blootleggen en helpen beschermingsmaatregelen te ontwerpen voordat die uitmonden in kostbare aanpassingen.

Dit onderscheid brengt orde in het project en is ontwerptechnisch van belang. Als het team het model als bewijsinstrument op zichzelf behandelt, is het gemakkelijk om indrukwekkende beelden te verzamelen zonder vertaling naar technische eisen, veiligheidsfuncties, gebruiksbeperkingen en de technische documentatie van de machine. Voor een fabrikant of integrator in Polen en de EU wordt een simulatie pas echt bruikbaar wanneer het resultaat in de taal van het project kan worden vastgelegd.

Uit het model moeten concrete beslissingen volgen: waar de toegang tot de zone moet lopen, welke bedrijfsmodi toelaatbaar zijn, wanneer beweging mag worden vrijgegeven, welke herstartvoorwaarden aanvaardbaar zijn en welke aannames expliciet in de oplevereisen moeten worden opgenomen. Dit is ook de juiste plek om verantwoordelijkheden tussen leveranciers af te bakenen. Het digitale model blijft een ontwerpinstrument, de risicobeoordeling is een proces voor het identificeren van gevaren en het kiezen van risicoreducerende maatregelen, en de conformiteitsbeoordeling is de formele bevestiging dat aan de toepasselijke eisen is voldaan. Het door elkaar halen van deze niveaus eindigt er meestal mee dat er veel materiaal is, maar weinig waarde voor de oplevering.

Een goed voorbeeld hoeft geen geavanceerde technologie te betreffen. Een gewone cel met automatische aanvoer van een onderdeel en incidentele toegang van de operator om blokkades te verhelpen is al voldoende. In het model werd zichtbaar dat de oorspronkelijk voorziene servicetoegang een onduidelijke stop- en herstartsequentie afdwingt en bovendien uitnodigt tot het omzeilen van de beoogde gebruiksregels in handmatige modus. Nog vóór de constructie ontstond, is het concept daarom aangepast: het toegangspunt is verplaatst, de volgorde van handelingen is vereenvoudigd en korte interventies zijn gescheiden van volledige toegang tot de zone. De simulatie zelf heeft hier niets “goedgekeurd”, maar maakte het wel mogelijk om eerder een beslissing te nemen die latere mechanische aanpassingen beperkte, de eisen voor het besturingssysteem verduidelijkte en het gesprek over de verantwoordelijkheid van fabrikant en integrator voor de gekozen oplossing vereenvoudigde.

Pas in deze fase is een normatieve verwijzing echt zinvol. De conclusies uit het model moeten input leveren voor de risicobeoordeling, de beschrijving van de gekozen beschermingsmaatregelen, de uitgangspunten voor de handleiding en het materiaal voor de technische documentatie. In de praktijk is het verstandig om niet alleen de animatie te bewaren, maar vooral het beslisspoor: de modelversie, de reikwijdte van de gehanteerde vereenvoudigingen, de werk- en interventiescenario’s, de in de simulatie vastgestelde botsingen, de ontwerpbeslissingen die daarop zijn gebaseerd en de informatie over wie verantwoordelijk is voor de actualiteit van het model na ontwerpwijzigingen.

In het conformiteitsbeoordelingsproces vervangt dergelijk materiaal de verificatie op het werkelijke object niet, maar het structureert wel de onderbouwing waarom voor een bepaalde oplossing is gekozen en op welk punt in de risicobeoordeling die is meegenomen. Dat is van bijzonder belang bij projecten met meerdere leveranciers, waar het ontbreken van een samenhangend beslisspoor snel uitmondt in discussie over de scope en de kosten van wijzigingen. Een digitale tweeling vervangt dus niet de conformiteitsbeoordeling van machines en evenmin latere verificatie, maar levert wel waardevolle input voor verdere beslissingen en tests, waaronder FAT.

De conclusie is nuchter. Investeren in simulatie is zinvol, niet omdat het een verplicht onderdeel van de projectpresentatie is geworden, maar omdat een deel van de veiligheidsfouten alleen goedkoop is zolang die nog uitsluitend in het ontwerp bestaat. Als het model helpt om beslissingen te nemen over de toegangsarchitectuur, de werkvolgorde, veiligheidsfuncties en gebruiksbeperkingen, ondersteunt het de risicobeoordeling en de voorbereiding op de conformiteitsbeoordeling daadwerkelijk. De waarde van het model hangt dus af van het moment waarop het tot een betere ontwerpbeslissing leidt, wat ook helpt bij het vermijden van kostbare aanpassingen later in het project. Als het bij een visualisatie blijft zonder vertaling naar technische eisen en de documentatie van de fabrikant of integrator, wordt het een kostenpost die de weg naar oplevering niet verkort en de veiligheid van de machine niet verbetert.