Projektering af E-STOP-kredsløb i henhold til ISO 13850 – hvornår er manuel nulstilling påkrævet, og hvornår kan automatisk nulstilling anvendes?

Om der efter aktivering af nødstop skal anvendes manuel eller automatisk reset, bør helst afklares allerede i konceptfasen. Senere er det ikke længere en mindre indstilling i programmet, men en beslutning, der påvirker både styrearkitekturen, drevenes og mediernes opførsel, idriftsættelsesprøver, brugsanvisningen samt håndteringen af forstyrrelser. I praksis handler det derfor ikke kun om valget af resettype, men om hvilken tilstand maskinen går til efter frigivelse af E-STOP, og om denne tilstand er sikker uden yderligere, bevidst handling fra et menneske.

Reset er ikke en detalje

Spørgsmålet om reset efter E-STOP kommer meget ofte op for sent. Når maskinens logik allerede er fastlagt, processekvenserne er skrevet, og styresystemet bygger på bestemte forudsætninger om drevtilstande og signaler efter bortfald af sikkerhedsfunktionen, er en ændring af resetmetoden ikke længere en justering. Den begynder at påvirke PLC-programmet, sikkerhedsfunktioner i industriel automatisering, funktionstest, dokumentation og betingelserne for overtagelse. Derfor bør fremgangsmåden efter aktivering af nødstop ikke bero på konstruktørens vaner eller på pres for at forkorte stilstanden.

Det er en arkitektonisk beslutning. Den skal kobles til svaret på to spørgsmål: Hvilken tilstand skal maskinen nå efter frigivelse af nødstopanordningen, og er denne tilstand udelukkende en sikker tilstand, eller er den allerede en tilstand med klar til bevægelse. Det er netop her, fejlen oftest opstår. Den består ikke i selve valget mellem manuel og automatisk reset, men i at teamet ikke analyserer, om maskinen efter frigivelse af E-STOP kan gå til en tilstand, som operatøren ikke forventer.

Hvis frigivelse af knappen ikke kun ophæver stopfunktionen, men også genetablerer drevenes klarstatus, genopretter forsyningen til pneumatikken eller fører proceslogikken tilbage til et trin, hvor bevægelse kan starte med ét enkelt startsignal, må dette ikke vurderes alene ud fra bekvemmelighed. Man skal analysere den tilsigtede genstart, forebyggelse af uventet opstart og betjeningsergonomi: Hvem udfører reset, fra hvilket sted, og kan vedkommende fra denne position faktisk se farezonen.

Det afgørende er hele systemets opførsel efter indgrebet, ikke kun selve E-STOP-knappen. Man skal vide, om drevene forbliver frakoblet, om servodrev efter frigivelse vender tilbage til klarstatus, om det pneumatiske system efter udluftning igen bliver forsynet, om signaler i styresystemet fastholdes, og i hvilken rækkefølge kvitteringer og frigivelser sker. En maskine, der efter frigivelse af nødstop forbliver stille og kræver en særskilt, bevidst startkommando, vurderes anderledes end en maskine, der vender tilbage til et mellemtrin i processen og næsten automatisk genskaber betingelserne for bevægelse.

Her opstår det vigtigste projekteringskriterium: Man skal ikke først spørge, hvad der formelt må anvendes, men hvilken maskintilstand der reelt indtræder efter frigivelse af E-STOP, og om denne tilstand er sikker uden yderligere menneskelig handling. Den normative reference strukturerer denne vurdering, men erstatter den ikke. Tyngdepunktet ligger ikke på betjeningskomfort, men på at reset ikke i sig selv skaber en farlig situation.

Hvor risiko og omkostninger reelt vokser

De fleste projekteringsfejl opstår ikke dér, hvor maskinen efter aktivering af E-STOP blot står stille, men dér, hvor stoppet sker i en mellemtilstand. Det gælder især pakkelinjer, robotceller, anlæg med presning, fleraksede drev samt kredsløb med lagret energi i pneumatik, hydraulik eller mekaniske elementer. I sådanne systemer betyder fjernelse af stopårsagen endnu ikke, at man sikkert kan vende tilbage til drift.

Produktet kan stadig sidde fast, en akse kan være standset uden for sikker position, en griber kan stadig holde emnet, og tryk eller moment kan fortsat påvirke mekanismen. I en sådan situation handler valget mellem manuel og automatisk reset ikke om operatørens bekvemmelighed, men om hvilken maskintilstand der faktisk opstår efter frigivelse af E-STOP, og om mennesket aflæser den korrekt.

Set fra projektsiden er mellemløsningerne de farligste. Formelt starter de ikke cyklussen, men i praksis genskaber de maskinens evne til at udføre bevægelse eller udløser en hjælpebevægelse. Automatisk reset virker tillokkende dér, hvor tilgængelighed og hurtig tilbagevenden til produktion er afgørende, men efter frigivelse af E-STOP kan styresystemet genetablere drevenes klarstatus, aktivere udgange, genoprette tryk eller frigive bremser. Operatøren opfatter da maskinen som stadig standset, selv om den set ud fra energi og styrelogik ikke længere er passiv.

Det er netop sådanne halvautomatiske opførsler, der oftest fører til uenigheder ved overtagelsen. Maskinen starter ikke selv en fuld cyklus, men genvinder energi, spænder et element fast, kører til referenceposition eller aktiverer en hjælpefunktion. Set fra projekteringssiden er dette ikke detaljer i interfacet, men beslutninger om grænsen mellem tilladt genetablering af klarstatus og ikke-tilladt genoptagelse af funktion.

I praksis er problemet som regel sammensat, fordi det både handler om sikkerhed og om arbejdets organisering. Manuel reset reducerer risikoen for uventet genstart, men hvis løsningen er dårligt udformet, skaber den hurtigt sine egne omkostninger. Hvis resetknappen er placeret uden for synsfeltet til zonen, kræver ekstra adgangsvej eller ikke er tydeligt adskilt fra frigivelse af E-STOP og fra startkommandoen, begynder operatørerne at opfatte proceduren som en hindring. Så opstår der omgåelser, indgreb fra vedligehold, rettelser i instruktionerne og ekstra oplæring. Hvis brugeren ikke entydigt kan aflæse forskellen mellem frigivelse af nødstopknappen, reset af sikkerhedskredsen og genstart af processen, ligger problemet ikke kun i ordlyden af standarden, men i hele betjeningsarkitekturen, herunder HMI-meddelelser og opdelingen i maskinzoner.

Et godt eksempel er en celle med transportør og pneumatisk griber. Når E-STOP aktiveres, stopper transportøren, griberen bliver stående i en mellemposition, og emnet bliver ikke lagt fra sig. Når E-STOP frigives, genetablerer styringen den pneumatiske forsyning, fordi der ikke findes en særskilt logik for sikker aflastning af systemet. Formelt er der ikke givet nogen startkommando, men cylinderen får energi igen, og aktuatoren udfører en kort, uventet bevægelse, som alene skyldes, at trykket vender tilbage. Sådanne tilfælde kan være vanskelige at genskabe under test, men de underminerer meget hurtigt brugerens tillid til maskinen.

Konsekvenserne rækker ud over selve risikoen for personskade. Der kommer indgreb fra vedligehold, forlænget idriftsættelse, programrettelser, tilføjelser af undtagelser i instruktionerne samt diskussioner om, hvorvidt tryk eller drivmoment skal fjernes efter E-STOP, eller om man blot skal blokere yderligere bevægelseskommandoer. Tilsvarende problemer opstår ved automatisk referencering efter stop samt ved en central E-STOP-kreds, der omfatter zoner med forskellig synlighed og forskellige konsekvenser ved tilbagevenden af energi.

På dette trin har henvisningen til PN‑EN ISO 13850 og kravene til nødstop en afklarende funktion. Det forhold alene, at der ikke sker en fuld opstart af cyklussen efter frigivelse af E-STOP, afgør endnu ikke, om løsningen er acceptabel. Man skal vurdere, om tilbagevenden af energi, genetablering af drevenes klarstatus, aktivering af gribefunktionen, frigivelse af aksernes bremser eller bevægelse til referenceposition skaber en farlig tilstand eller en situation, der er vildledende for operatøren. Derfor bør man i praksis ikke kun se på selve resetsignalet, men på hele sekvensen.

Sådan træffes projekteringsbeslutningen

Beslutningen om reset efter aktivering af nødstop bør tage udgangspunkt i en beskrivelse af maskinens tilstande og ikke i spørgsmålet om betjeningskomfort. Det skal beskrives entydigt, hvad der sker efter tryk på E-STOP og efter frigivelse: hvilke energiveje der afbrydes, hvilke der forbliver forsynet, om drevenes klarstatus vender tilbage, om aksernes bremser frigives, om cylindre kan fuldføre en bevægelse på grund af resttryk, tyngdekraft eller elastisk energi, og om der efter genetablering af klarstatus findes nogen form for automatisk sekvens.

Først på det grundlag kan man afgøre, om selve frigivelsen af nødstopknappen er sikkerhedsmæssigt neutral, eller om den allerede udgør en tilstandsændring, som kan udsætte mennesker for fare. Hvis frigivelse af E-STOP genetablerer energi på en måde, hvis konsekvenser operatøren ikke har fuldt overblik over, eller som kan ændre aktuatorernes position, er manuel reset udgangspunktet. Hvis frigivelsen derimod ikke medfører bevægelse, ikke genetablerer farlig energi og ikke starter nogen sekvens, kan man overveje automatisk tilbagevenden til klarstatus, men kun hvis den videre opstart af processen kræver en særskilt og entydig kommando.

I praksis hjælper det at adskille tre handlinger, som alt for ofte blandes sammen i ét signal eller én operatørmeddelelse. Frigivelse af nødstopanordningen er en mekanisk handling og betyder kun, at knappen er vendt tilbage til klarstilling. Reset af sikkerhedsfunktionen er en separat bekræftelse af, at sikkerhedsbetingelserne igen kan anses for opfyldt. Opstart af processen er noget andet: beslutningen om at starte bevægelse eller genoptage cyklussen.

Hvis disse niveauer flyder sammen, holder brugeren op med at forstå, om frigivelse af E-STOP allerede sætter noget i gang, eller om den kun fjerner en blokering, og projektholdet mister muligheden for at forsvare den valgte logik under overensstemmelsesvurderingen. Af samme grund er placeringen af resetknappen et projekteringsspørgsmål og ikke en kosmetisk detalje. Den person, der udfører reset, bør kunne vurdere den zone, som sættes tilbage i klarstatus, eller også skal systemet sikre en anden pålidelig metode til bekræftelse af tilstanden.

I mere komplekse linjer kan det betyde lokal reset for den pågældende zone, mens resten af anlægget forbliver i klarstatus, men kun hvis zonegrænserne, afhængighederne mellem drev og konsekvenserne af at genetablere energi er klart defineret. En sådan beslutning skal følge af funktionsanalysen og ikke af et ønske om at forenkle betjeningen.

En god beslutningstest er at beskrive sekvensen og ikke kun det elektriske diagram. Holdet bør kunne besvare nogle kontrolspørgsmål:

• om energi eller aktuatorklarhed vender tilbage efter frigivelse af E-STOP på en måde, der har mærkbar betydning for maskinen,
• om der kan opstå nogen form for bevægelse uden en særskilt opstartskommando,
• om den person, der udfører reset, kan se hele zonen og udelukke, at der befinder sig en person der, samt udelukke en mellemtilstand i processen.

Hvis svaret på et eller flere af disse spørgsmål ikke er entydigt sikkert, bliver automatisk tilbagevenden en løsning, som er vanskelig at begrunde. Det gælder især anlæg, hvor emnet efter stop stadig sidder i griberen, cylinderen er standset i en mellemposition, aksen holdes af moment, og bortfald af låsning kan medføre nedsynkning eller forskydning. I sådanne tilfælde er manuel reset ikke blot en formalitet, men et krav om en bevidst kontrol af situationen, før anlægget igen sættes i klar tilstand.

Omvendt kan automatisk tilbagevenden reducere stilstand uden at forringe sikkerhedsniveauet dér, hvor anlægget forbliver passivt efter frigivelse af E-STOP, og hvor bevægelse kun kan startes ved en særskilt handling fra operatøren eller via en overordnet sekvens. Et eksempel kan være en station med afskærmet arbejdsområde og et drev, som efter E-STOP mister muligheden for bevægelse, men som efter frigivelse genvinder styrespænding og klar tilstand uden at udføre nogen bevægelse på akse eller cylinder. Den samme formulering i styringen bliver derimod tvivlsom i en transfermaskine, hvor frigivelse af E-STOP løsner bremsen på en akse, genetablerer tryk til ventilerne eller gør det muligt at fuldføre et afbrudt sekvenstrin.

Derfor skal beslutningen ikke kun indarbejdes i koden, men også i projektdokumenterne: i diagrammer, tilstandsmatricen, beskrivelsen af restartsekvensen, HMI-meddelelser, procedurer for afhjælpning af fastkørsler og scenarier for overtagelsesprøver. Hvis denne logik ikke kan forklares til brugeren i én sammenhængende beskrivelse — hvad frigivelse af E-STOP gør, hvad reset gør, og hvad der starter processen — er det som regel et tegn på, at funktionsopdelingen er forkert eller for kompleks.

Først praksis, derefter normativ reference

I praksis afgøres måden at resette efter aktivering af nødstop ikke af funktionsnavnet, men af svaret på et enkelt spørgsmål: hvad sker der helt præcist med maskinen, når nødstopknappen frigives, og er denne tilstand entydigt sikker. Det er en projekteringsbeslutning, ikke en brugerpræference eller en genvej overført fra en tidligere løsning.

Teamet skal kunne beskrive hele hændelseskæden: stop, afbrydelse af energi til det niveau, som risikovurderingen kræver, frigivelse af enheden, reset af funktionen, bekræftelse af klar tilstand og først derefter genstart. Hvis et af disse trin overlapper et andet eller afhænger af styringens standardadfærd, opstår der grobund for uenigheder ved overtagelsen og for driftsfejl, som senere ikke kan rettes alene med en instruktion.

Det ses tydeligt ved modernisering af en eksisterende celle, hvor brugeren forventer kortere stop efter afhjælpning af mindre forstyrrelser, og integratoren foreslår automatisk tilbagevenden efter frigivelse af E-STOP for at gøre betjeningen enklere. På et overordnet niveau virker løsningen fornuftig: Operatøren fjerner årsagen til stoppet, frigiver enheden, og maskinen vender tilbage til klar tilstand uden en ekstra resetknap. Problemet viser sig først i mellemtilstanden.

Hvis cylinderen efter genetablering af arbejdsmediet igen får tryk i en position, hvor den kan udføre et slag, en fremføring eller aflaste griberen uden en ny intention fra operatøren, er tilbagevenden til klar tilstand ikke længere en neutral logisk tilstand. I praksis bliver den en del af procesbevægelsen, blot skjult under et andet navn. Et sådant tilfælde kræver som regel ikke kosmetiske programændringer, men en tilbagevenden til funktionsarkitekturen: adskillelse af frigivelse og reset, en eksplicit bekræftelse af klar tilstand eller en ombygning af sekvensen for udluftning og fornyet energitilførsel.

Dette eksempel viser også, hvilke projekteringsmæssige beviser der er afgørende. Det er ikke nok at erklære, at intet starter ved frigivelse, hvis man i overtagelsesprøver ikke har kontrolleret drev, ventiler, bremser og sekvenstrin præcist i det øjeblik, hvor E-STOP frigives. I maskinens tekniske dokumentation bør der være en registrering af risikovurderingen for dette scenarie, en beskrivelse af tilstandene på HMI, et prøvescenarie efter frigivelse af nødstop samt en klar bekræftelse fra brugeren af den aftalte restartlogik. Det er netop i disse materialer, at løsningens sammenhæng vurderes senere: ved maskinovertagelse, ved opdatering af procedurer for adgang til zonen eller LOTO-procedurer, ved undtagelser for indstillings- og servicetilstand og, hvis der opstår en hændelse, også ved afklaring af, om operatøren kunne forudse anlæggets adfærd.

Først på den baggrund giver det mening at henvise til ISO 13850. Standarden tydeliggør nødstoppets rolle: Det skal bruges til at standse en farlig proces eller begrænse følgerne af en fare, og frigivelse af enheden må ikke i sig selv skabe en ny farlig tilstand. For konstruktøren er den praktiske konklusion enkel: Selve tilbageføringen af E-STOP-enheden til frigivet position kan ikke erstatte en bevidst handling, som maskinens sikkerhedskoncept kræver.

I en polsk og europæisk kontekst handler det dog ikke kun om logisk overensstemmelse med standarden. Lige så vigtigt er det, at hele løsningen er konsistent med den tekniske dokumentation i overensstemmelse med Maskindirektivet, brugsanvisningen, resultaterne af risikovurderingen og, efter modernisering, omfanget af den opdaterede validering af sikkerhedsfunktionerne. Det er disse elementer, der senere vil blive vurderet i relationen mellem leverandør og bruger, ikke en enkelt formulering i styringsprogrammet.

Den praktiske konklusion er entydig. Hvis konstruktøren ikke kan redegøre for, hvad der sker, når E-STOP frigives, hvilke energier der vender tilbage, hvilke dele der kan ændre position, og hvorfor denne tilstand er sikker, bør man ikke tilføje proceduremæssige undtagelser som “operatøren må ikke opholde sig i zonen på det tidspunkt”. Man skal tilbage til funktionerne, sekvensen og ansvarsfordelingen mellem frigivelse, reset og genstart. Først en løsning, der kan forsvares på diagrammet, ved accepttest, i instruktionen og i risikovurderingen, kan betragtes som teknisk moden.