Digitalni dvojček in varnost strojev: kdaj se simulacija pred izdelavo resnično izplača

Odločitev za naložbo v digitalni dvojček na področju varnosti ne bi smela izhajati iz mode vizualizacij ali iz splošne parole o »digitalizaciji projekta«. Smisel takšnega dela se pokaže šele takrat, ko model omogoči, da vnaprej opazimo tisto, kar bo po izgradnji postalo draga predelava: konflikt med gibanjem stroja in dostopom človeka, nepregledno zaporedje ponovnega zagona, slabo zasnovan poseg ob zastoju zaradi zagozditve ali razporeditev con, ki je formalno videti pravilna, v praksi pa spodbuja obhajanje varoval. Zato pravo vprašanje ni, ali se pred izgradnjo splača simulirati, temveč kdaj simulacija dejansko vpliva na projektne odločitve in podpira zmanjševanje projektnega tveganja, še preden se to utrdi v konstrukciji, programu krmiljenja in delitvi odgovornosti med dobavitelji.

Najdražje napake nastanejo pred montažo

Pri varnosti strojev se najdražje težave le redko začnejo ob prvem zagonu. Običajno so zapisane veliko prej: v funkcionalni arhitekturi stroja ali linije, v zaporedju in medsebojni odvisnosti gibov, v načinu dostopa do nevarnih območij, v logiki preureditev, v predvidenih posegih operaterja in v predpostavkah, sprejetih za vzdrževanje. Zato o vrednosti digitalnega dvojčka ne odloča zgolj obstoj modela, temveč trenutek, v katerem je mogoče na njegovi podlagi sprejeti boljšo odločitev.

Če simulacija deluje pred naročilom opreme, pred dokončno določitvijo razporeditve delovnih mest in pred končno delitvijo odgovornosti med dobavitelji, postane orodje za omejevanje projektnega tveganja. Če se pojavi pozneje, pogosto le uredi tisto, kar je bilo že tako določeno z gabariti, vmesniki, naročenimi komponentami in sprejetimi izvedbenimi rešitvami. V takšnem primeru je njen vpliv na varnost po naravi omejen.

Z vidika projekta zato ni bistveno, ali model dobro »prikazuje stroj«, temveč ali odraža odločitve, pomembne za varnost. Uporaben model mora prikazovati zaporedja gibanja, načine delovanja, točke vstopa človeka v proces ter odvisnosti med varovali, napravami za zaznavanje prisotnosti, blokadami in krmilnimi funkcijami, povezanimi z varnostjo. Šele takrat je mogoče preveriti, ali ocena tveganja v fazi zasnove zajema dejanske obratovalne situacije, ne pa le nominalnega poteka cikla.

V tej fazi pridejo na dan vprašanja, ki po izgradnji postanejo najdražja: ali bo operater obhajal varovalo, da odstrani zagozditev, ali ima serviser varen dostop do nastavitvenih točk, ali ročni način ne ustvarja nenamerne poti za obhod varoval, ali razporeditev linije ne sili v vstop v delovno območje sosednjega stroja. Največja vrednost simulacije ni v tem, da predvidi vse, temveč da razkrije konflikte med produktivnostjo, ergonomijo in varnostjo, še preden se spremenijo v konstrukcijsko spremembo v hali ali v spor z dobaviteljem.

V praksi je to še posebej vidno tam, kjer je po montaži treba predelovati varovala, prestavljati senzorje, popravljati servisni dostop ali spreminjati logiko zaporedja, ker se rešitev, ki je formalno varna, izkaže za neizvedljivo pri vsakodnevnem upravljanju. Tak popravek ni zgolj mehanski ali programski strošek. Pomeni tudi dodatne iteracije projekta delovnih mest, ponovno usklajevanje s proizvodnjo in vzdrževanjem, včasih pa tudi spremembo predpostavk, ki so bile prej sprejete v oceni tveganja.

Zato je smiselno uporabnost simulacije presojati ne po splošnih »prihrankih zaradi digitalizacije«, temveč po konkretnih projektnih kazalnikih: številu dostopnih točk, ki zahtevajo analizo, številu načinov delovanja, ki zahtevajo ločeno oceno, in številu iteracij razporeditve delovnih mest pred izvedbenim naročilom. Prav ti pokažejo, ali model dejansko zmanjšuje negotovost tam, kjer je poznejša sprememba najtežja.

V tem smislu digitalni dvojček ne nadomešča niti ocene skladnosti strojev niti tehnične dokumentacije. Lahko pa že prej pripravi podlago za nadaljnje odločitve in uredi področja, ki po izgradnji postanejo le še zahtevnejša, dražja in bolj konfliktna.

Kje stroški in tveganje zares naraščajo

Največji stroški v varnostnih projektih le redko izhajajo iz same izbire varoval, svetlobnih zaves ali blokad. Naraščajo takrat, ko se šele po izgradnji sistema izkaže, da se dejansko delo človeka ne ujema s sprejetim modelom stroja. Največ težav se pojavi na stiku geometrije, gibanja in obnašanja procesa: tam, kjer mora operater doseči obdelovanec, videti stanje celice, vstopiti v območje posega ali opraviti dejanje v kratkem prehodnem stanju.

Če takšnih situacij ne preverimo pred izdelavo, se med montažo pokažejo mrtvi koti vidljivosti, kolizije gibov, nepregledna zaporedja in dostop, ki formalno sicer obstaja, v praksi pa zahteva neudobno ali tvegano delo. Takrat ocena tveganja ne ureja več projekta, temveč postane prepozen odziv na težave, ki so že vgrajene v konstrukcijo.

Z vidika projektne ekipe niso najtežji nominalni scenariji, temveč nenominalni. Prav ti se najpogosteje razhajajo s predpostavkami, sprejetimi v funkcionalni shemi. Odpravljanje zastojev, čiščenje, preurejanje, ponovni zagon po zaustavitvi, servisni dostop in delo v posebnih načinih redko potekajo natanko tako, kot je bilo predvideno v fazi zasnove. V praksi se pojavi potreba po podprtju elementa, ročnem vračanju osi, začasnem vstopu v skupno območje ali potrditvi ponovnega zagona z mesta, s katerega ni vidno celotno ogroženo območje.

Prav tu ima digitalni dvojček operativno vrednost. Omogoča preveriti, ali je varovalni ukrep ne le predviden, ampak tudi izvedljiv pri dejanskem upravljanju. Zaščita, ki onemogoča vzdrževalni poseg, gumb za ponastavitev, nameščen zunaj smiselnega opazovalnega polja, ali dostop, ki spodbuja obhajanje varoval, niso manjše ergonomske pomanjkljivosti. To so viri predvidljivih odstopanj od postopka, s tem pa tudi viri tveganja, zamud in poznejših sporov glede odgovornosti.

Dober preizkus smiselnosti simulacije je preprost primer iz faze zasnove linije. Predviden je bil bočni dostop za odpravljanje zastojev pri prenosu obdelovanca med dvema strojema, ponastavitev po posegu pa je bila nameščena pri glavnem pultu. Na risbi je rešitev videti pravilna. Šele po prehodu intervencijskega scenarija v modelu se pokaže, da operater po sprostitvi obdelovanca nima popolne vidljivosti območja prenosa, da lahko drugi stroj že zaključuje svoje zaporedje in da dostop do ponastavitve zahteva odhod z mesta, s katerega bi bilo treba potrditi varno stanje. Sprememba pred izdelavo običajno pomeni popravek položaja dostopa, logike zaporedja in točke potrditve. Ista sprememba po montaži lahko zajema predelavo zaščit, kabelskih tras, programa krmiljenja in dokumentacije, pri več dobaviteljih pa tudi določitev, kdo je odgovoren za vmesnik in kateri del instalacije je treba spremeniti.

Zato je smiselno meriti elemente, ki jih je mogoče ovrednotiti: število ročnih posegov na izmeno, število dostopnih točk, število scenarijev odpravljanja zastojev in število vmesnikov med stroji. Prav ti pokažejo, kje pomanjkanje predhodnega preverjanja začne ustvarjati stroške in nejasnosti.

V robotiziranih linijah in integriranih sistemih vrednost simulacije narašča s številom odvisnosti. Tveganje tam vse redkeje izhaja iz posameznega stroja, obravnavanega ločeno, in vse pogosteje iz zaporedja medsebojnih vplivov: prenosa obdelovanca, sprostitve skupnega delovnega območja, medsebojnega potrjevanja pripravljenosti, ravnanja po zaustavitvi v sili in pogojev za ponovni zagon gibanja. Brez predhodnega preverjanja je mogoče prevzeti naprave, ki so posamezno videti pravilne, skupaj pa ustvarjajo nejasna prehodna stanja in vrzeli v odgovornosti.

Če naj model dejansko podpira odločitve, mora zajemati tudi izredne in intervencijske situacije, njegov pregled pa je smiselno izvajati ob sodelovanju operaterjev in služb vzdrževanja. Prav oni najhitreje zaznajo mesta, kjer se projekt začne razhajati s prakso.

Kdaj je naložba operativno smiselna

Naložba v digitalni dvojček je smiselna takrat, ko omogoča sprejem odločitev, pri katerih bo napaka po montaži draga z mehanskega, krmilnega ali organizacijskega vidika. Zato ni odločilna sama stopnja naprednosti orodja, temveč to, ali model odgovarja na temeljna projektna vprašanja: kako kompleksno je gibanje, koliko je interakcij med človekom in strojem, kako pomembni so posebni načini delovanja, kako obsežna je integracija več naprav in kako boleča bi bila sprememba po izdelavi ter zagonu sistema.

Če odgovori vodijo do velikega števila prehodnih stanj, pogostih vstopov v območja, obsežnih postopkov preurejanja, čiščenja ali odpravljanja zastojev ter visokih stroškov predelave zaščit, pogonov ali logike krmiljenja, simulacija preneha biti izdatek »za vsak primer«. Postane orodje za omejevanje projektnega tveganja.

To pa ne pomeni, da vsak stroj zahteva popoln prikaz celotnega objekta. V številnih primerih je razumnejši model, usmerjen v izbrana tveganja, z minimalnim obsegom, potrebnim za sprejem odločitve. Včasih zadostuje preveriti območja dostopa in vidljivost operaterja. V drugem projektu bodo ključni zaporedje gibanja med prevzemom obdelovanca, razporeditev zaščit in naprav za zaklepanje ali potek servisnih opravil pri odklopljenem in ponovno vzpostavljenem napajanju.

Takšno zoženje obsega je posebej pomembno v fazi ponudbe in zasnove, ko mora ekipa predvsem odpraviti napačne predpostavke, ne pa graditi obsežnega modela z majhno odločitveno vrednostjo. Dobro vprašanje zato ni, ali zgraditi dvojček »v polnem obsegu«, temveč kateri minimalni obseg modela bo omogočil zapreti odprta tveganja pred naročilom naprav in ugotovitve vključiti v tehnične zahteve za dobavitelja.

Pogoj za uporabnost simulacije je tudi jasno določena odgovornost za sprejemanje odločitev. Če vnaprej ni jasno, na katera vprašanja mora model odgovoriti in kdo potrjuje ugotovitve na strani investitorja ter dobavitelja, model hitro postane le predstavitev brez dejanskega vpliva na projekt. Zato je smiselno še pred začetkom del zapisati, ali naj simulacija potrdi sprejemljivost koncepta zaščit, pokaže možnost izvedbe posega brez obhajanja varoval, preveri logiko varnega ponovnega zagona po zaustavitvi ali razkrije mesta, kjer prihaja do konflikta med človekom in avtomatiko.

V praksi se dobro obnese povezava modela z delavniško analizo scenarijev uporabe, ki jo skupaj izvajajo projektiranje, avtomatika, varnost, proizvodnja in vzdrževanje. Takrat udeleženci ne komentirajo zgolj same grafike, temveč obravnavajo scenarije normalnega in nenormalnega delovanja, ugotovitve pa je mogoče zapirati po fazah: na ravni koncepta, pred izvedbenim projektom in pred prevzemom.

• katere scenarije je treba preveriti pred naročilom opreme,
• katere konstrukcijske spremembe so izhajale iz pregleda modela,
• koliko tveganj ostaja odprtih po zaključku dogovorjenega obsega simulacije.

Največjo vrednost torej ne prinaša sama prostorska slika, temveč ureditev projektnega spora, še preden se ta prenese v proizvodno halo. Če ekipa analizira celico z robotom, transporterjem in mestom za ročni poseg, mora model odgovoriti na zelo konkretna vprašanja: ali vstop v območje med odpravljanjem zastoja ne zahteva obhajanja zaščit, ali po zaustavitvi v sili ponovni zagon ne sproži sosednje naprave na način, ki je za upravljavca nepričakovan, ter ali ima servis dejanski dostop do nastavitvenih točk brez demontaže zaščit.

Na tej stopnji se pokažejo tudi kategorije stroškov, ki jih v poenostavljenem terminskem planu običajno ni videti: predelava ograj in temeljev, spremembe ožičenja in vhodov krmilnika, popravki programske opreme, dodatna usklajevanja odgovornosti med dobavitelji ter zamiki prevzema, povezani s ponovnim preverjanjem zaščitnih ukrepov. To je tudi trenutek za odločitev, ali model izdelati z lastnimi viri ali ga zahtevati od integratorja kot del dogovorjenega obsega del, v nekaterih projektih pa tudi kot prevzemno zahtevo.

Da se to delo ne bi razgubilo po sestankih, je treba obseg modela zaključiti tudi v dokumentaciji. Ugotovitve iz simulacije se morajo vrniti v tehnične zahteve, funkcionalne sheme, izhodišča za navodila in v gradivo, ki podpira oceno skladnosti. Sam digitalni dvojček ne nadomešča ocene tveganja niti poznejše ocene skladnosti, lahko pa uredi vhodno gradivo in pokaže, kje je treba natančneje opredeliti predpostavke varnostnih funkcij krmilnega sistema, dostopa do območij in ravnanja v posebnih načinih delovanja.

Najprej projektna odločitev, nato normativno sklicevanje

V praksi je smiselno ohraniti preprosto zaporedje: najprej odločiti, čemu naj model služi, šele nato se sklicevati na formalne zahteve. Digitalni dvojček ni samostojno sredstvo za potrjevanje skladnosti in ne nadomešča niti ocene tveganja niti poznejše ocene skladnosti pred oznako CE. Njegova vloga je zgodnejša in bolj praktična: preveriti predpostavke, razkriti konflikte med tehnologijo, dostopom, vzdrževanjem in organizacijo dela ter pomagati zasnovati zaščitne ukrepe, preden se spremenijo v drage predelave.

To razlikovanje je pomembno za urejenost in za projektiranje. Če ekipa model obravnava kot dokazno orodje samo po sebi, se hitro naberejo učinkovite slike brez prenosa v tehnične zahteve, varnostne funkcije, omejitve uporabe in tehnično dokumentacijo stroja. Za proizvajalca ali integratorja na Poljskem in v EU postane simulacija uporabna šele takrat, ko je njen rezultat mogoče zapisati v jeziku projekta.

Iz modela morajo izhajati konkretne odločitve: kje naj poteka dostop do območja, kateri načini delovanja so dopustni, kdaj se gibanje lahko sprosti, kateri pogoji ponovnega zagona so sprejemljivi in katere predpostavke je treba neposredno prenesti v prevzemne zahteve. To je tudi pravo mesto za razmejitev odgovornosti med dobavitelji. Digitalni model ostaja projektno orodje, ocena tveganja je proces prepoznavanja nevarnosti in izbire ukrepov za njihovo zmanjšanje, ocena skladnosti pa formalna potrditev izpolnjevanja veljavnih zahtev. Mešanje teh ravni se običajno konča tako, da je gradiva veliko, njegova vrednost za prevzem pa ostane majhna.

Dober primer se ni nujno treba nanašati na napredno tehnologijo. Dovolj je običajna celica s samodejnim podajanjem obdelovanca in občasnim vstopom operaterja zaradi odpravljanja zastojev. V modelu se je pokazalo, da prvotno predviden servisni dostop zahteva nepregledno zaporedje zaustavitve in ponovnega zagona, hkrati pa spodbuja obhajanje predvidenih pravil uporabe v ročnem načinu. Še preden je bila konstrukcija izdelana, so zato spremenili koncept: premaknili so točko dostopa, poenostavili zaporedje opravil in ločili primere kratkega posega od popolnega vstopa v območje. Sama simulacija tu ni ničesar »potrdila«, je pa omogočila zgodnejšo odločitev, ki je omejila poznejše mehanske predelave, natančneje opredelila zahteve za krmilni sistem in poenostavila razpravo o odgovornosti proizvajalca ter integratorja za sprejeto rešitev.

Šele na tej stopnji je sklicevanje na standarde smiselno. Ugotovitve iz modela bi morale biti vključene v oceno tveganja, opis sprejetih zaščitnih ukrepov, izhodišča za navodila ter gradivo za tehnično dokumentacijo. V praksi je smiselno ohraniti ne le samo animacijo, temveč tudi sled odločanja: različico modela, obseg uporabljenih poenostavitev, scenarije delovanja in posegov, kolizije, razkrite v simulaciji, projektne odločitve pred izdelavo stroja, sprejete na tej podlagi, ter podatek o tem, kdo je odgovoren za ažurnost modela po spremembah projekta.

V postopku ugotavljanja skladnosti strojev takšno gradivo ne nadomešča preverjanja na dejanskem objektu, vendar ureja utemeljitev, zakaj je bila izbrana določena rešitev in na katerem mestu v oceni tveganja je bila obravnavana. To je še posebej pomembno pri projektih z več dobavitelji, kjer se pomanjkanje enotne sledi odločanja hitro spremeni v spor glede obsega in stroškov sprememb.

Sklep je stvaren. V simulacijo se splača vlagati ne zato, ker je postala obvezen del predstavitve projekta, temveč zato, ker je del varnostnih napak poceni odpraviti le takrat, ko obstajajo še izključno v projektu. Če model pomaga sprejeti odločitev o arhitekturi dostopa, zaporedju delovanja, varnostnih funkcijah in omejitvah uporabe, dejansko podpira oceno tveganja in pripravo na ugotavljanje skladnosti. Če pa se konča pri vizualizaciji brez prenosa v tehnične zahteve in dokumentacijo proizvajalca ali integratorja, postane strošek, ki ne skrajša poti do prevzema in ne izboljša varnosti stroja.