Проектиране на вериги E-STOP съгласно ISO 13850 – кога се изисква ръчно нулиране и кога автоматично?

Дали след задействане на аварийното спиране да се прилага ръчен или автоматичен reset, е най-добре да се реши още на етапа на концепцията и проектирането на машината. По-късно това решение престава да бъде дребна настройка в програмата и започва едновременно да влияе върху архитектурата на управлението, поведението на задвижванията и работните среди, приемателните изпитвания, инструкцията за експлоатация и начина на реагиране при смущения. На практика следователно не става дума само за избор на вида reset, а за това в какво състояние преминава машината след деблокиране на E-STOP и дали това състояние е безопасно без допълнително, съзнателно действие от страна на човека.

Reset не е детайл

Въпросът за reset след E-STOP много често се появява твърде късно. Когато логиката на машината вече е завършена, процесните последователности са написани, а системата за управление е приела определени допускания за състоянията на задвижванията и сигналите след отпадане на функцията за безопасност, промяната на начина на reset вече не е корекция. Тя започва да влияе върху програмата на контролера, функциите за безопасност в индустриалната автоматизация, функционалните изпитвания, документацията и условията за приемане. Затова начинът на действие след задействане на аварийното спиране не бива да произтича нито от навиците на проектанта, нито от натиска за съкращаване на престоя.

Това е архитектурно решение. То трябва да бъде обвързано с отговора на два въпроса: какво състояние трябва да достигне машината след деблокиране на устройството за аварийно спиране и дали това състояние е единственото безопасно състояние, или вече е състояние на готовност за движение. Именно тук най-често се появява грешката. Тя не се състои в самия избор между ръчен и автоматичен reset, а в това, че екипът не анализира дали след освобождаване на E-STOP машината може да премине в състояние, което операторът не очаква.

Ако освобождаването на бутона води не само до отменяне на функцията за спиране, но и до възстановяване на готовността на задвижванията, повторно подаване на пневматично захранване или връщане на процесната логика към стъпка, от която движението може да започне след единичен стартов сигнал, това не бива да се оценява единствено през призмата на удобството. Трябва да се анализират предвиденият restart, предотвратяването на неочаквано пускане и ергономията на обслужването: кой извършва reset, от кое място и дали от тази позиция действително вижда опасната зона.

Значение има поведението на цялата система след намесата, а не само самият бутон E-STOP. Трябва да е ясно дали задвижванията остават изключени, дали сервозадвижванията след освобождаване се връщат в състояние на готовност, дали пневматичната система след обезвъздушаване отново се захранва, дали сигналите в контролера се задържат и в каква последователност настъпват потвържденията и деблокиранията. По различен начин се оценява машина, която след освобождаване на аварийното спиране остава неподвижна и изисква отделна, съзнателна команда за пускане, и по различен начин такава, която се връща към междинна стъпка от процеса и почти автоматично възстановява условията за движение.

Тук се появява най-важният проектантски критерий: първо не трябва да се пита какво формално е допустимо да се приложи, а какво състояние на машината реално ще настъпи след деблокиране на E-STOP и дали това състояние е безопасно без допълнително действие от страна на човека. Нормативната опора подрежда тази оценка, но не я замества. Акцентът не е върху удобството при обслужване, а върху това reset сам по себе си да не предизвиква опасна ситуация.

Къде всъщност нарастват рискът и разходите

Най-много проектантски грешки не се появяват там, където машината след задействане на E-STOP просто спира, а там, където спирането настъпва в междинно състояние. Това се отнася особено за опаковъчни линии, роботизирани клетки, системи с притискане, многоосни задвижвания и вериги с натрупана енергия в пневматиката, хидравликата или механичните елементи. В такива системи отстраняването на причината за спирането все още не означава, че може безопасно да се възобнови работата.

Продуктът може да остане заклещен, ос може да спре извън безопасна позиция, захващащото устройство може все още да държи детайла, а налягането или въртящият момент могат да продължат да въздействат върху механизма. В такава ситуация изборът между ръчен и автоматичен reset не се отнася до удобството на оператора, а до това какво състояние на машината реално възниква след освобождаване на E-STOP и дали човекът правилно го разчита.

От гледна точка на проекта най-опасни са междинните решения. Формално те не стартират цикъла, но на практика възстановяват способността на машината да извърши движение или предизвикват спомагателно движение. Автоматичният reset е изкушаващ там, където са важни наличността и бързото връщане към производство, но след освобождаване на E-STOP контролерът може да възстанови готовността на задвижванията, да активира изходите, да възстанови налягането или да освободи спирачките. Тогава операторът възприема машината като все още спряна, макар че от гледна точка на енергията и логиката на управление тя вече не е пасивна.

Именно такова полуавтоматично поведение най-често води до спорове при приемането. Машината не тръгва сама в пълен цикъл, но възстановява енергия, притиска елемент, достига базова позиция или задейства спомагателна функция. От проектантска гледна точка това не са детайли на интерфейса, а решения за границата между допустимото възстановяване на готовност и недопустимото подновяване на действието.

На практика проблемът обикновено е смесен, защото съчетава безопасността с организацията на работа. Ръчният reset намалява риска от неочаквано възобновяване, но ако е проектиран неправилно, бързо започва да генерира собствени разходи. Ако бутонът за reset е разположен извън видимостта към зоната, изисква допълнително придвижване или не е ясно отделен от освобождаването на E-STOP и от командата за старт, обслужващият персонал започва да възприема процедурата като пречка. Тогава се появяват заобиколни решения, намеси от поддръжката, корекции в инструкциите и допълнителни обучения. Ако потребителят не може еднозначно да разграничи освобождаването на гъбовидния бутон, reset на веригата за безопасност и повторното пускане на процеса, проблемът не е само в съдържанието на стандарта, а в цялата архитектура на управлението, включително съобщенията в HMI и разделянето на машината на зони.

Добър пример е клетка с конвейер и пневматичен захват. След задействане на E-STOP транспортьорът спира, захватът остава в междинно положение, а детайлът не се оставя. След освобождаване на E-STOP управлението възстановява пневматичното захранване, тъй като няма отделна логика за безопасно разтоварване на системата. Формално не е подадена команда за старт, но цилиндърът възстановява енергията си и изпълнителният елемент извършва кратко, неочаквано движение, породено единствено от връщането на налягането. Такъв случай често е труден за възпроизвеждане по време на изпитвания, но много бързо подкопава доверието на потребителя в машината.

Последиците надхвърлят самия риск от нараняване. Появяват се намеси от поддръжката, удължено приемане, корекции по програмата, дописване на изключения в инструкциите и спорове дали след E-STOP трябва да се освобождава налягането или задвижващият момент, или само да се блокират по-нататъшните команди за движение. Подобни проблеми възникват и при автоматично базиране след спиране, както и при централизирана E-STOP верига, обхващаща зони с различна видимост и различни последици от възстановяването на енергията.

На този етап позоваването на PN‑EN ISO 13850 и изискванията към аварийния стоп има подреждащо значение. Самият факт, че след освобождаване на E-STOP не следва пълен старт на цикъла, все още не решава дали решението е приемливо. Трябва да се оцени дали възстановяването на енергията, връщането на готовността на задвижванията, задействането на захвата, освобождаването на спирачките на осите или движението към базова позиция не създават опасно състояние или ситуация, която подвежда оператора. Затова на практика трябва да се разглежда не само сигналът за reset, а цялата последователност.

Как да се вземе проектно решение

Решението за reset след задействане на аварийното спиране е добре да започне с описание на състоянията на машината, а не с въпроса за удобството при обслужване. Трябва еднозначно да се опише какво се случва след натискане на E-STOP и след неговото освобождаване: кои енергийни вериги се изключват, кои остават под напрежение, възстановява ли се готовността на задвижванията, освобождават ли се спирачките на осите, могат ли цилиндрите да довършат движението си под влияние на остатъчно налягане, гравитация или еластична енергия и дали след възстановяване на готовността съществува каквато и да е самопроизволна последователност.

Едва на тази основа може да се отговори дали самото освобождаване на гъбовидния бутон е неутрално от гледна точка на безопасността, или вече представлява промяна на състоянието, която може да изложи човек на риск. Ако освобождаването на E-STOP възстановява енергия по начин, чиито последици операторът не вижда изцяло или който може да промени положението на изпълнителните елементи, изходната точка става ръчният reset. Ако обаче освобождаването не предизвиква движение, не възстановява опасна енергия и не стартира никаква последователност, може да се обмисли автоматично връщане в състояние на готовност, но само ако по-нататъшното пускане на процеса изисква отделна, еднозначна команда.

На практика помага разделянето на три действия, които твърде често се смесват в един сигнал или в едно операторско съобщение. Освобождаването на устройството за аварийно спиране е механично действие и означава единствено, че бутонът се е върнал в положение на готовност. Reset на функцията за безопасност е отделно потвърждение, че условията за безопасност отново могат да се считат за изпълнени. Пускането на процеса е нещо различно: решение за започване на движение или за възобновяване на цикъла.

Ако тези нива се припокриват, потребителят престава да разбира дали освобождаването на E-STOP вече задейства нещо, или само премахва блокировката, а проектният екип губи възможността да защити приетата логика по време на оценката на съответствието. По същата причина местоположението на бутона за reset има проектно, а не козметично значение. Лицето, което извършва reset, трябва да има възможност да оцени зоната, за която възстановява готовността, или системата трябва да осигурява друг надежден метод за потвърждение на състоянието.

При по-сложни линии това може да означава локален reset за съответната зона при запазване на готовността на останалата част от инсталацията, но само ако границите на зоните, зависимостите между задвижванията и последиците от възстановяването на енергията са ясно определени. Такова решение трябва да произтича от анализ на функциите, а не от стремеж да се опрости обслужването.

Добър тест при вземане на решение е описанието на последователността, а не само на електрическата схема. Екипът трябва да може да отговори на няколко контролни въпроса:

• дали след освобождаване на E-STOP се възстановява енергия или изпълнителна готовност по начин, осезаем за машината,
• дали е възможно да възникне каквото и да е движение без отделна команда за пускане,
• дали лицето, което извършва reset, вижда цялата зона и може да изключи присъствието на човек, както и междинно състояние на процеса.

Ако на който и да е от тези въпроси отговорът не е еднозначно безопасен, автоматичното възстановяване става решение, което трудно може да се обоснове. Това важи особено за системи, при които след спиране детайлът остава в захвата, цилиндърът е спрял в междинно положение, оста се задържа от въртящ момент, а отпадането на блокировката може да предизвика спадане или преместване. В такива случаи ръчният reset не е формалност, а налага съзнателна проверка на ситуацията преди възстановяване на готовността.

Обратно, там, където след деблокиране на E-STOP системата остава пасивна, а пускането на движение изисква отделно действие от оператора или управляваща последователност от по-високо ниво, автоматичното възстановяване може да ограничи престоя, без да влошава нивото на безопасност. Пример за това е работна станция с оградена работна зона и задвижване, което след E-STOP губи възможност за движение, но след деблокиране възстановява захранването на управлението и състоянието на готовност, без да извършва каквото и да е движение на ос или цилиндър. Същата настройка в контролера обаче става съмнителна при трансферна машина, където освобождаването на E-STOP разблокира оста, възстановява налягането към разпределителите или позволява довършване на прекъсната стъпка от последователността.

Затова решението трябва да бъде отразено не само в кода, но и в проектната документация: в схемите, матрицата на състоянията, описанието на последователността за рестарт, съобщенията в HMI, процедурите за отстраняване на заклинвания и сценариите за приемателни изпитвания. Ако тази логика не може да бъде обяснена на потребителя с едно последователно описание — какво прави освобождаването на E-STOP, какво прави reset и какво стартира процеса — това обикновено е знак, че разделението на функциите е неправилно или прекалено сложно.

Първо практиката, после нормативната опора

На практика начинът на reset след задействане на аварийното спиране не се определя от името на функцията, а от отговора на един прост въпрос: какво точно ще се случи с машината след освобождаване на аварийния бутон и дали това състояние е еднозначно безопасно. Това е проектно решение, а не предпочитание на потребителя или мисловно съкращение, пренесено от предишна реализация.

Екипът трябва да може да опише пълната верига от събития: спиране, изключване на енергията до нивото, изисквано от оценката на риска, деблокиране на устройството, reset на функцията, потвърждение за готовност и едва след това повторен пуск. Ако който и да е от тези етапи се припокрива с друг или зависи от поведението по подразбиране на контролера, възниква поле за спорове при приемането и за експлоатационни грешки, които по-късно не могат да бъдат поправени само с инструкция.

Това се вижда ясно при модернизация на съществуваща клетка, при която потребителят очаква по-кратки престои след отстраняване на дребни смущения, а интеграторът предлага автоматично възстановяване след освобождаване на E-STOP, за да опрости обслужването. На ниво общо описание решението изглежда разумно: операторът отстранява причината за спирането, деблокира устройството и машината се връща в готовност без допълнителен бутон за reset. Проблемът се проявява едва в междинното състояние.

Ако след възстановяване на работната среда цилиндърът отново получи налягане в такова положение, че може да извърши ход, притискане или разтоварване на захвата без ново намерение от страна на оператора, тогава връщането в готовност престава да бъде неутрално логическо състояние. На практика то се превръща в част от движението на процеса, само че скрито под друго име. Такъв случай обикновено изисква не козметична промяна в програмата, а връщане към архитектурата на функцията: отделяне на деблокирането от reset, изрично потвърждение на готовността или преработване на последователността за обезвъздушаване и повторно подаване на енергия.

От този пример се вижда и какви проектни доказателства имат значение. Не е достатъчно да се заяви, че след освобождаване нищо не стартира, ако при приемателните изпитвания не е проверено поведението на задвижванията, клапаните, спирачките и стъпките на последователността точно в момента на деблокиране на E-STOP. В техническата документация на машините трябва да има запис от анализа на риска за този сценарий, описание на състоянията в HMI, сценарий на изпитване след освобождаване на аварийното спиране и ясно потвърждение от потребителя за договорената логика на рестарта. Именно по тези материали по-късно се оценява последователността на решението: при приемане на машината, при актуализиране на процедурите за влизане в зоната или процедурите LOTO, при изключения за режим на настройка и сервизен режим, а при инцидент и при изясняване дали операторът е могъл да предвиди поведението на системата.

Едва на такъв фон има смисъл да се направи позоваване на ISO 13850. Стандартът подрежда ролята на аварийното спиране: то трябва да служи за спиране на опасен процес или за ограничаване на последиците от опасността, а деблокирането на устройството не може само по себе си да създава ново опасно състояние. За проектанта практическият извод е прост: самото връщане на устройството E-STOP в деблокирано положение не може да замества съзнателното действие, изисквано от концепцията за безопасност на машината.

В полските и европейските условия обаче не става дума единствено за логическо съответствие със стандарта. Също толкова важна е съгласуваността на цялото решение с техническата документация, съответстваща на Директивата за машините, инструкцията за експлоатация, резултатите от оценката на риска и, след модернизация, с обхвата на актуализацията на валидирането на функциите за безопасност. Именно тези елементи по-късно ще бъдат проверявани в отношенията доставчик–потребител, а не отделен запис в програмата на контролера.

Практическият извод е еднозначен. Ако проектантът не може да покаже какво се случва след освобождаване на E-STOP, кои енергии се възстановяват, кои елементи могат да променят положението си и защо това състояние е безопасно, не бива да се добавят процедурни изключения от рода на „операторът не трябва да стои в зоната“. Необходимо е да се върнем към функциите, последователността и разпределението на отговорностите между деблокиране, нулиране и повторно пускане. Едва решение, което може да бъде защитено в схемата, при приемателните изпитвания, в инструкцията и в оценката на риска, може да се счита за технически зряло.