Navrhování obvodů E-STOP podle ISO 13850 – kdy ruční reset a kdy automatický?

O tom, zda po aktivaci nouzového zastavení použít ruční, nebo automatický reset, je nejlepší rozhodnout už ve fázi koncepce. Později už toto rozhodnutí nepředstavuje jen drobné nastavení v programu, ale začíná ovlivňovat architekturu řízení, chování pohonů a médií, přejímací zkoušky, návod k použití i způsob řešení poruchových stavů. V praxi tedy nejde jen o volbu typu resetu, ale o to, jakého stavu stroj dosáhne po odblokování E-STOP a zda je tento stav bezpečný i bez dalšího vědomého zásahu člověka.

Reset není detail

Otázka resetu po E-STOP se velmi často otevírá příliš pozdě. Když už je logika stroje uzavřená, procesní sekvence napsané a řídicí systém má nastavené předpoklady ohledně stavů pohonů a signálů po ztrátě bezpečnostní funkce, přestává být změna způsobu resetu pouhou úpravou. Začíná ovlivňovat program řídicího systému, bezpečnostní funkce v průmyslové automatizaci, funkční zkoušky, dokumentaci i podmínky přejímky. Proto by postup po aktivaci nouzového zastavení neměl vycházet ze zvyklostí konstruktéra ani z tlaku na zkrácení odstávky.

Jde o architektonické rozhodnutí. Je třeba je spojit s odpovědí na dvě otázky: jakého stavu má stroj dosáhnout po odblokování zařízení nouzového zastavení a zda je tento stav pouze bezpečným stavem, nebo už stavem připravenosti k pohybu. Právě zde se nejčastěji objevuje chyba. Nespočívá v samotné volbě ručního nebo automatického resetu, ale v tom, že tým neanalyzuje, zda po uvolnění E-STOP nemůže stroj přejít do stavu, který obsluha neočekává.

Jestliže uvolnění tlačítka nevede jen ke zrušení funkce zastavení, ale také k obnovení připravenosti pohonů, opětovnému přivedení pneumatického napájení nebo návratu procesní logiky do kroku, ze kterého se může pohyb rozběhnout po jediném signálu startu, nelze to posuzovat pouze z hlediska pohodlí. Je nutné analyzovat zamýšlený restart, prevenci neočekávaného spuštění a ergonomii obsluhy: kdo reset provádí, z jakého místa a zda z této pozice skutečně vidí nebezpečný prostor.

Rozhodující je chování celého systému po zásahu, nikoli jen samotné tlačítko E-STOP. Je třeba vědět, zda pohony zůstávají odpojené, zda se servopohony po uvolnění vracejí do stavu připravenosti, zda se pneumatický systém po odvzdušnění znovu natlakuje, zda jsou signály v řídicím systému podrženy a v jakém pořadí probíhají potvrzení a odblokování. Jinak se posuzuje stroj, který po uvolnění nouzového zastavení zůstává nehybný a vyžaduje samostatný, vědomý povel ke spuštění, a jinak stroj, který se vrací do mezikroku procesu a téměř automaticky obnovuje podmínky pro pohyb.

Zde se objevuje nejdůležitější projektové kritérium: neptat se nejprve, co je formálně dovoleno použít, ale jaký stav stroje po odblokování E-STOP skutečně nastane a zda je tento stav bezpečný bez dalšího zásahu člověka. Normativní rámec toto posouzení usměrňuje, ale nenahrazuje je. Těžiště neleží v pohodlí obsluhy, ale v tom, aby reset sám o sobě nevyvolal nebezpečnou situaci.

Kde skutečně roste riziko a náklady

Nejvíce konstrukčních chyb nevzniká tam, kde stroj po aktivaci E-STOP jednoduše stojí, ale tam, kde k zastavení dojde v mezistavu. Týká se to zejména balicích linek, robotických pracovišť, systémů s přítlakem, víceosých pohonů a obvodů s energií akumulovanou v pneumatice, hydraulice nebo mechanických prvcích. V takových systémech odstranění příčiny zastavení ještě neznamená, že se lze bezpečně vrátit k provozu.

Výrobek může zůstat zaklíněný, osa se může zastavit mimo bezpečnou polohu, chapadlo může stále držet díl a tlak nebo moment mohou na mechanismus dál působit. V takové situaci se volba mezi ručním a automatickým resetem netýká pohodlí obsluhy, ale toho, jaký stav stroje po uvolnění E-STOP skutečně vznikne a zda jej člověk správně vyhodnotí.

Z hlediska návrhu jsou nejrizikovější mezilehlá řešení. Formálně nespouštějí cyklus, ale fakticky obnovují schopnost stroje vykonat pohyb nebo vyvolávají pomocný pohyb. Automatický reset je lákavý tam, kde je důležitá dostupnost a rychlý návrat do výroby, avšak po uvolnění E-STOP může řídicí systém obnovit připravenost pohonů, aktivovat výstupy, vrátit tlak nebo odblokovat brzdy. Obsluha pak vnímá stroj jako stále zastavený, i když z hlediska energie a logiky řízení už není pasivní.

Právě takové poloautomatické chování nejčastěji vede ke sporům při přejímce. Stroj se sice sám nerozběhne do plného cyklu, ale znovu získá energii, sevře prvek, dojede do referenční polohy nebo spustí pomocnou funkci. Z hlediska návrhu nejde o detaily rozhraní, ale o rozhodnutí, kde leží hranice mezi přípustným obnovením připravenosti a nepřípustným obnovením činnosti.

V praxi má problém obvykle smíšený charakter, protože spojuje bezpečnost s organizací práce. Ruční reset snižuje riziko neočekávaného opětovného spuštění, ale pokud je navržen špatně, rychle začne vytvářet vlastní náklady. Jestliže je tlačítko resetu umístěno mimo dohled na danou zónu, vyžaduje další docházku nebo není zřetelně odděleno od odblokování E-STOP a od povelu start, obsluha začne postup vnímat jako překážku. Pak se objevují obcházení, zásahy údržby, úpravy návodů a dodatečná školení. Pokud uživatel nedokáže jednoznačně rozlišit mezi odblokováním hřibového tlačítka, resetem bezpečnostního obvodu a opětovným spuštěním procesu, neleží problém jen v textu normy, ale v celé architektuře obsluhy, včetně hlášení HMI a rozdělení stroje na zóny.

Dobrým příkladem je pracoviště s dopravníkem a pneumatickým chapadlem. Po aktivaci E-STOP se dopravník zastaví, chapadlo zůstane v mezilehlé poloze a díl není odložen. Po uvolnění E-STOP řízení obnoví pneumatické napájení, protože neexistuje samostatná logika pro bezpečné odlehčení systému. Formálně nebyl zadán povel start, ale válec znovu získá energii a akční člen provede krátký, neočekávaný pohyb vyvolaný pouze návratem tlaku. Takový případ bývá při zkouškách obtížné zopakovat, ale velmi rychle podkopává důvěru uživatele ve stroj.

Důsledky přesahují samotné riziko úrazu. Objevují se zásahy údržby, prodloužená přejímka, úpravy programu, doplňování výjimek do návodu a spory o to, zda se má po E-STOP odfouknout tlak nebo odpojit moment pohonu, nebo zda se mají pouze blokovat další povely k pohybu. Podobné problémy vznikají i při automatickém najetí do referenční polohy po zastavení a také u centrálního obvodu E-STOP, který zahrnuje zóny s různou viditelností a s různými důsledky návratu energie.

V této fázi má odkaz na PN‑EN ISO 13850 a požadavky na nouzové zastavení význam jako vodítko pro uspořádání celé úvahy. Samotná skutečnost, že po uvolnění E-STOP nedojde k plnému spuštění cyklu, ještě nerozhoduje o tom, zda je řešení přijatelné. Je třeba posoudit, zda návrat energie, obnovení připravenosti pohonů, sepnutí uchopení, odbrzdění osy nebo pohyb do referenční polohy nevytvářejí nebezpečný stav nebo stav, který je pro obsluhu matoucí. Proto je v praxi nutné dívat se ne na samotný resetovací signál, ale na celou sekvenci.

Jak přijmout projektové rozhodnutí

Rozhodování o resetu po aktivaci nouzového zastavení je vhodné začít popisem stavů stroje, nikoli otázkou pohodlí obsluhy. Je třeba jednoznačně rozepsat, co se děje po stisknutí E-STOP a po jeho odblokování: které energetické větve se odpojují, které zůstávají pod napětím, zda se obnovuje připravenost pohonů, zda se odbrzďují osy, zda mohou válce dokončit pohyb vlivem zbytkového tlaku, gravitace nebo pružné energie a zda po obnovení připravenosti existuje jakákoli samočinná sekvence.

Teprve na tomto základě lze odpovědět, zda je samotné uvolnění hřibového tlačítka z hlediska bezpečnosti neutrální, nebo už představuje změnu stavu, která může člověka ohrozit. Pokud odblokování E-STOP obnovuje energii způsobem, jehož důsledky operátor plně nevidí nebo který může změnit polohu akčních členů, stává se výchozím řešením ruční reset. Pokud naopak odblokování nevyvolává pohyb, neobnovuje nebezpečnou energii a nespouští žádnou sekvenci, lze uvažovat o automatickém návratu do stavu připravenosti, ale pouze tehdy, když další rozběh procesu vyžaduje samostatný a jednoznačný povel.

V praxi pomáhá oddělit tři činnosti, které se až příliš často mísí do jednoho signálu nebo jednoho operátorského hlášení. Odblokování zařízení nouzového zastavení je mechanický úkon a znamená pouze to, že se tlačítko vrátilo do pohotovostní polohy. Reset bezpečnostní funkce je samostatné potvrzení, že bezpečnostní podmínky lze znovu považovat za splněné. Rozběh procesu je ještě něco jiného: rozhodnutí zahájit pohyb nebo obnovit cyklus.

Jestliže se tyto úrovně překrývají, uživatel přestává rozumět tomu, zda uvolnění E-STOP už něco spouští, nebo pouze ruší blokování, a projektový tým ztrácí možnost obhájit zvolenou logiku při posuzování shody. Ze stejného důvodu je umístění tlačítka reset projektovým rozhodnutím, nikoli kosmetickou volbou. Osoba provádějící reset by měla mít možnost posoudit zónu, pro kterou obnovuje připravenost, nebo musí systém zajistit jinou spolehlivou metodu potvrzení stavu.

U složitějších linek to může znamenat lokální reset pro danou zónu při zachování připravenosti zbývající části instalace, ale pouze tehdy, jsou-li hranice zón, závislosti mezi pohony a důsledky obnovení energie jasně definovány. Takové rozhodnutí musí vycházet z analýzy funkcí, nikoli ze snahy zjednodušit obsluhu.

Dobrým rozhodovacím testem je popis sekvence, nikoli samotného elektrického schématu. Tým by měl umět odpovědět na několik kontrolních otázek:

• zda se po uvolnění E-STOP vrací energie nebo provozní připravenost akčních členů způsobem, který je pro stroj znatelný,
• zda může dojít k jakémukoli pohybu bez samostatného povelu k rozběhu,
• zda osoba provádějící reset vidí celou zónu a může vyloučit přítomnost člověka i mezistav procesu.

Jestliže u kterékoliv z těchto otázek není odpověď jednoznačně bezpečná, automatický návrat se stává řešením, které se obhajuje jen obtížně. Týká se to zejména systémů, v nichž po zastavení zůstává díl v upínači, válec se zastavil v mezipoloze, osa je držena momentem a ztráta blokace může vyvolat pokles nebo posun. V takových případech není ruční reset formalitou, ale vynucuje vědomou kontrolu situace před obnovením pohotovostního stavu.

Naopak tam, kde po odblokování E-STOP zůstává systém pasivní a spuštění pohybu vyžaduje samostatný zásah obsluhy nebo nadřazenou sekvenci, může automatický návrat omezit prostoje bez zhoršení úrovně bezpečnosti. Příkladem může být pracoviště s chráněným pracovním prostorem a pohonem, který po E-STOP ztratí možnost pohybu, ale po odblokování znovu získá napájení řízení a stav připravenosti, aniž by provedl jakýkoli pohyb osy nebo válce. Stejný zápis v řídicím systému se však stává sporným u transferového stroje, kde uvolnění E-STOP odbrzdí osu, obnoví tlak do rozvaděčů nebo umožní dokončit přerušený krok sekvence.

Proto je nutné toto rozhodnutí zachytit nejen v kódu, ale i v projektové dokumentaci: ve schématech, matici stavů, popisu sekvence restartu, hlášeních HMI, postupech pro odstraňování zaseknutí a scénářích přejímacích zkoušek. Pokud tuto logiku nelze uživateli vysvětlit jedním souvislým popisem — co dělá uvolnění E-STOP, co dělá reset a co spouští proces — bývá to obvykle známka toho, že rozdělení funkcí je chybné nebo příliš složité.

Nejprve praxe, potom normativní souvislosti

V praxi o způsobu resetu po aktivaci nouzového zastavení nerozhoduje název funkce, ale odpověď na jednoduchou otázku: co přesně se se strojem stane po uvolnění hřibového tlačítka a zda je tento stav jednoznačně bezpečný. Je to projektové rozhodnutí, nikoli preference uživatele ani zkratka převzatá z předchozí realizace.

Tým by měl umět popsat celý řetězec událostí: zastavení, odpojení energie na úroveň požadovanou posouzením rizik, odblokování zařízení, reset funkce, potvrzení připravenosti a teprve poté opětovné spuštění. Pokud se některá z těchto etap překrývá s jinou nebo závisí na výchozím chování řídicího systému, vzniká prostor pro spory při přejímce i pro provozní chyby, které už později nelze napravit samotným návodem.

Dobře je to vidět při modernizaci stávající buňky, kde uživatel očekává kratší odstávky po odstranění drobných poruch a integrátor navrhuje automatický návrat po uvolnění E-STOP, aby se obsluha zjednodušila. Na úrovni obecného popisu vypadá takové řešení rozumně: operátor odstraní příčinu zastavení, odblokuje zařízení a stroj se vrátí do připravenosti bez dalšího tlačítka resetu. Problém se projeví až v mezistavu.

Jestliže po obnovení pracovního média válec znovu získá tlak v takové poloze, že může provést zdvih, přisunutí nebo odlehčení chapadla bez nové vůle operátora, přestává být návrat do připravenosti neutrálním logickým stavem. Ve skutečnosti se stává částí pohybu procesu, jen skrytou pod jiným názvem. Takový případ obvykle nevyžaduje kosmetickou úpravu programu, ale návrat k architektuře funkcí: oddělení odblokování od resetu, výslovné potvrzení připravenosti nebo přestavbu sekvence odvzdušnění a opětovného přivedení energie.

Na tomto příkladu je také vidět, jaké projektové důkazy mají význam. Nestačí prohlášení, že se po uvolnění nic nespouští, pokud se při přejímacích zkouškách neověřilo chování pohonů, ventilů, brzd a kroků sekvence přesně v okamžiku odblokování E-STOP. V technické dokumentaci strojů by měl být záznam o analýze rizik pro tento scénář, popis stavů na HMI, scénář zkoušky po uvolnění nouzového zastavení a jasné potvrzení dohodnuté logiky restartu ze strany uživatele. Právě v těchto podkladech se později posuzuje konzistence řešení: při přejímce stroje, při aktualizaci postupů pro vstup do zóny nebo postupů LOTO, při výjimkách pro seřizovací a servisní režim a v případě incidentu také při objasňování, zda operátor mohl chování systému předvídat.

Teprve na tomto pozadí má smysl odvolat se na ISO 13850. Norma vymezuje roli nouzového zastavení: má sloužit k zastavení nebezpečného procesu nebo omezení následků ohrožení a odblokování zařízení nesmí samo o sobě vytvářet nový nebezpečný stav. Pro konstruktéra je praktický závěr jednoduchý: samotný návrat zařízení E-STOP do odblokované polohy nemůže nahrazovat vědomý úkon vyžadovaný bezpečnostní koncepcí stroje.

V českém i unijním prostředí však nejde jen o logický soulad s normou. Stejně důležitá je i návaznost celého řešení na technickou dokumentaci v souladu se směrnicí o strojních zařízeních, návod k používání, výsledky posouzení rizik a po modernizaci také na rozsah aktualizace validace bezpečnostních funkcí. Právě tyto prvky budou později předmětem posouzení ve vztahu dodavatel–uživatel, nikoli jednotlivý zápis v programu řídicího systému.

Praktický závěr je jednoznačný. Pokud projektant nedokáže doložit, co se děje po uvolnění E-STOP, jaké energie se znovu objeví, které prvky mohou změnit polohu a proč je tento stav bezpečný, nemají se do postupu doplňovat výjimky typu „obsluha by se v té chvíli neměla nacházet v zóně“. Je nutné vrátit se k funkcím, sekvenci a rozdělení odpovědnosti mezi odblokování, reset a opětovné spuštění. Teprve řešení, které lze obhájit ve schématu, při přejímacích zkouškách, v návodu a při posouzení rizik, lze považovat za technicky vyzrálé.