Auslegung von E-STOP-Stromkreisen nach ISO 13850 – wann manueller, wann automatischer Reset?

Ob nach dem Auslösen des Not-Halts ein manueller oder ein automatischer Reset verwendet werden soll, sollte idealerweise bereits in der Konzeptphase entschieden werden. Später ist diese Entscheidung keine kleine Programmeinstellung mehr, sondern wirkt sich zugleich auf die Steuerungsarchitektur, das Verhalten von Antrieben und Medien, Abnahmeprüfungen, die Betriebsanleitung sowie den Umgang mit Störungen aus. In der Praxis geht es daher nicht nur um die Wahl der Reset-Art, sondern darum, welchen Zustand die Maschine nach dem Entriegeln des E-STOP erreicht und ob dieser Zustand ohne zusätzliche, bewusste Handlung des Menschen sicher ist.

Reset ist kein Detail

Die Frage nach dem Reset nach einem E-STOP wird sehr häufig zu spät gestellt. Wenn die Maschinenlogik bereits festgelegt, die Prozessabläufe programmiert und für das Steuerungssystem Annahmen zu den Zuständen von Antrieben und Signalen nach Wegfall der Sicherheitsfunktion getroffen wurden, ist eine Änderung der Reset-Art keine bloße Korrektur mehr. Sie beginnt, das SPS-Programm, Sicherheitsfunktionen in der Industrieautomatisierung, Funktionsprüfungen, die Dokumentation und die Abnahmebedingungen zu beeinflussen. Deshalb darf das Vorgehen nach dem Auslösen des Not-Halts nicht aus Gewohnheiten des Konstrukteurs oder aus dem Druck heraus entstehen, Stillstandszeiten zu verkürzen.

Es handelt sich um eine Architekturentscheidung. Sie muss mit der Antwort auf zwei Fragen verknüpft werden: Welchen Zustand soll die Maschine nach dem Entriegeln der Not-Halt-Befehlseinrichtung erreichen, und ist dieser Zustand ausschließlich ein sicherer Zustand oder bereits ein Zustand der Bewegungsbereitschaft? Genau hier entsteht am häufigsten der Fehler. Er liegt nicht in der bloßen Wahl zwischen manuellem und automatischem Reset, sondern darin, dass das Team nicht analysiert, ob die Maschine nach dem Lösen des E-STOP in einen Zustand übergehen kann, mit dem der Bediener nicht rechnet.

Wenn das Lösen des Tasters nicht nur die Stoppfunktion quittiert, sondern auch die Antriebsbereitschaft wiederherstellt, die pneumatische Versorgung erneut freigibt oder die Prozesslogik zu einem Schritt zurückführt, aus dem eine Bewegung nach einem einzelnen Startsignal anlaufen kann, darf dies nicht allein unter dem Aspekt der Bequemlichkeit bewertet werden. Zu analysieren sind der beabsichtigte Wiederanlauf, die Verhinderung eines unerwarteten Anlaufs und die Ergonomie der Bedienung: Wer führt den Reset aus, von welchem Ort aus und ob diese Person von dort den Gefahrenbereich tatsächlich einsehen kann.

Entscheidend ist das Verhalten des gesamten Systems nach dem Eingriff, nicht nur der E-STOP-Taster selbst. Es muss klar sein, ob Antriebe abgeschaltet bleiben, ob Servoantriebe nach dem Lösen wieder in den Bereitschaftszustand gehen, ob die Pneumatik nach dem Entlüften erneut beaufschlagt wird, ob Signale in der Steuerung gehalten werden und in welcher Reihenfolge Quittierungen und Freigaben erfolgen. Eine Maschine, die nach dem Lösen des Not-Halts stillsteht und einen separaten, bewussten Startbefehl erfordert, ist anders zu bewerten als eine Maschine, die zu einem Zwischenschritt des Prozesses zurückkehrt und die Voraussetzungen für eine Bewegung nahezu automatisch wiederherstellt.

Hier zeigt sich das wichtigste Auslegungskriterium: Nicht zuerst fragen, was formal zulässig ist, sondern welchen Maschinenzustand das Entriegeln des E-STOP tatsächlich bewirkt und ob dieser Zustand ohne zusätzliche Handlung des Menschen sicher ist. Der normative Bezug ordnet diese Bewertung, ersetzt sie aber nicht. Im Mittelpunkt steht nicht der Bedienkomfort, sondern die Forderung, dass der Reset nicht von sich aus eine gefährliche Situation verursacht.

Wo Risiko und Kosten tatsächlich steigen

Die meisten Konstruktionsfehler treten nicht dort auf, wo die Maschine nach dem Auslösen des E-STOP einfach stillsteht, sondern dort, wo der Stopp in einem Zwischenzustand erfolgt. Das betrifft insbesondere Verpackungslinien, Roboterzellen, Systeme mit Niederhaltern, mehrachsige Antriebe sowie Kreise mit in Pneumatik, Hydraulik oder mechanischen Elementen gespeicherter Energie. In solchen Systemen bedeutet das Beseitigen der Stoppursache noch nicht, dass die Arbeit sicher wieder aufgenommen werden kann.

Ein Produkt kann eingeklemmt bleiben, eine Achse kann außerhalb einer sicheren Position stehen bleiben, ein Greifer kann das Teil weiterhin halten, und Druck oder Drehmoment können weiterhin auf den Mechanismus einwirken. In einer solchen Situation betrifft die Wahl zwischen manuellem und automatischem Reset nicht den Bedienkomfort, sondern die Frage, welcher Maschinenzustand nach dem Lösen des E-STOP tatsächlich entsteht und ob der Mensch ihn richtig interpretiert.

Aus Sicht der Auslegung sind Zwischenlösungen am kritischsten. Formal starten sie keinen Zyklus, tatsächlich stellen sie aber die Bewegungsfähigkeit der Maschine wieder her oder lösen eine Hilfsbewegung aus. Ein automatischer Reset erscheint dort verlockend, wo Verfügbarkeit und eine schnelle Rückkehr in die Produktion zählen; nach dem Lösen des E-STOP kann die Steuerung jedoch die Antriebsbereitschaft wiederherstellen, Ausgänge scharf schalten, Druck zurückführen oder Bremsen lösen. Der Bediener nimmt die Maschine dann weiterhin als gestoppt wahr, obwohl sie aus Sicht von Energiezustand und Steuerungslogik nicht mehr passiv ist.

Gerade solche halbautomatischen Verhaltensweisen führen bei der Abnahme am häufigsten zu Diskussionen. Die Maschine startet nicht selbsttätig in einen vollständigen Zyklus, gewinnt aber wieder Energie, spannt ein Element, fährt in die Grundstellung oder aktiviert eine Hilfsfunktion. Aus Sicht der Auslegung sind das keine Details der Schnittstelle, sondern Entscheidungen über die Grenze zwischen einer zulässigen Wiederherstellung der Bereitschaft und einer unzulässigen Wiederaufnahme der Funktion.

In der Praxis ist das Problem meist gemischt gelagert, weil es Sicherheit und Arbeitsorganisation miteinander verbindet. Ein manueller Reset verringert das Risiko eines unerwarteten Wiederanlaufs, verursacht aber bei schlechter Auslegung schnell eigene Folgekosten. Wenn der Reset-Taster außerhalb des Sichtfelds der Zone angeordnet ist, einen zusätzlichen Weg erfordert oder nicht klar von der Entriegelung des E-STOP und vom Startbefehl getrennt ist, beginnt das Bedienpersonal, das Verfahren als Hindernis zu betrachten. Dann entstehen Umgehungen, Eingriffe der Instandhaltung, Korrekturen an der Betriebsanleitung und zusätzliche Schulungen. Wenn der Anwender den Unterschied zwischen dem Entriegeln des Pilztasters, dem Reset des Sicherheitskreises und dem erneuten Start des Prozesses nicht eindeutig erkennen kann, liegt das Problem nicht nur im Wortlaut der Norm, sondern in der gesamten Bedienarchitektur einschließlich der HMI-Meldungen und der Aufteilung der Maschine in Zonen.

Ein gutes Beispiel ist eine Zelle mit Förderer und pneumatischem Greifer. Nach dem Auslösen des E-STOP kommt der Förderer zum Stillstand, der Greifer bleibt in einer Zwischenstellung, und das Werkstück wird nicht abgelegt. Nach dem Entriegeln des E-STOP stellt die Steuerung die pneumatische Versorgung wieder her, weil keine separate Logik für eine sichere Entlastung des Systems vorhanden ist. Formal wurde kein Startbefehl gegeben, aber der Zylinder erhält wieder Energie, und das Stellglied führt eine kurze, unerwartete Bewegung aus, die allein durch die Rückkehr des Drucks verursacht wird. Ein solcher Fall lässt sich bei Versuchen oft nur schwer reproduzieren, zerstört aber sehr schnell das Vertrauen des Anwenders in die Maschine.

Die Folgen gehen über das reine Verletzungsrisiko hinaus. Es kommt zu Einsätzen der Instandhaltung, verlängerten Abnahmen, Programmkorrekturen, nachträglich ergänzten Ausnahmen in der Betriebsanleitung sowie zu Diskussionen darüber, ob nach dem E-STOP Druck oder Antriebsmoment abgebaut werden müssen oder ob lediglich weitere Bewegungsbefehle zu sperren sind. Ähnliche Probleme treten beim automatischen Referenzieren nach einem Stopp sowie bei einem zentralen E-STOP-Kreis auf, der Zonen mit unterschiedlicher Einsehbarkeit und unterschiedlichen Auswirkungen der Energierückkehr umfasst.

In diesem Stadium ist der Verweis auf EN ISO 13850 und die Anforderungen an die Not-Halt-Befehlseinrichtung hilfreich, um die Bewertung zu strukturieren. Allein die Tatsache, dass nach dem Entriegeln des E-STOP kein vollständiger Start des Zyklus erfolgt, entscheidet noch nicht darüber, ob die Lösung akzeptabel ist. Es muss bewertet werden, ob die Energierückkehr, die Wiederherstellung der Antriebsbereitschaft, das Schließen des Greifers, das Lüften der Achsenbremse oder die Bewegung in die Referenzposition keinen gefährlichen oder für den Bediener irreführenden Zustand erzeugen. Deshalb ist in der Praxis nicht nur auf das Reset-Signal zu schauen, sondern auf die gesamte Sequenz.

Wie eine Konstruktionsentscheidung getroffen werden sollte

Die Entscheidung über den Reset nach Auslösung des Not-Halts sollte mit einer Beschreibung der Maschinenzustände beginnen und nicht mit der Frage nach dem Bedienkomfort. Es muss eindeutig beschrieben werden, was nach dem Drücken des E-STOP und nach dessen Entriegelung geschieht: welche Energiepfade abgeschaltet werden, welche versorgt bleiben, ob die Antriebsbereitschaft zurückkehrt, ob Achsen entbremst werden, ob Zylinder ihre Bewegung unter dem Einfluss von Restdruck, Schwerkraft oder Federenergie beenden können und ob nach Wiederherstellung der Bereitschaft irgendeine selbsttätige Sequenz existiert.

Erst auf dieser Grundlage lässt sich beantworten, ob das bloße Entriegeln des Pilztasters aus sicherheitstechnischer Sicht neutral ist oder bereits eine Zustandsänderung darstellt, die Menschen gefährden kann. Wenn das Entriegeln des E-STOP Energie in einer Weise zurückbringt, deren Auswirkungen der Bediener nicht vollständig überblickt, oder wenn sich dadurch die Stellung von Stellgliedern ändern kann, ist ein manueller Reset der Ausgangspunkt. Wenn das Entriegeln dagegen keine Bewegung auslöst, keine gefährliche Energie wiederherstellt und keine Sequenz startet, kann eine automatische Rückkehr in den Bereitschaftszustand erwogen werden, jedoch nur dann, wenn der weitere Anlauf des Prozesses einen separaten, eindeutigen Befehl erfordert.

In der Praxis hilft es, drei Vorgänge zu trennen, die zu oft in einem Signal oder in einer einzigen Bedienermeldung vermischt werden. Das Entriegeln der Not-Halt-Befehlseinrichtung ist ein mechanischer Vorgang und bedeutet lediglich, dass der Taster in die Bereitschaftsstellung zurückgekehrt ist. Der Reset der Sicherheitsfunktion ist eine separate Bestätigung, dass die Sicherheitsbedingungen wieder als erfüllt angesehen werden können. Der Anlauf des Prozesses ist etwas anderes: die Entscheidung, eine Bewegung zu starten oder den Zyklus wieder aufzunehmen.

Wenn sich diese Ebenen überlagern, versteht der Anwender nicht mehr, ob das Entriegeln des E-STOP bereits etwas in Gang setzt oder nur eine Sperre aufhebt, und das Projektteam verliert die Möglichkeit, die gewählte Logik bei der Konformitätsbewertung zu verteidigen. Aus demselben Grund ist die Position des Reset-Tasters keine kosmetische, sondern eine konstruktive Frage. Die Person, die den Reset ausführt, sollte die Möglichkeit haben, die Zone zu beurteilen, für die die Bereitschaft wiederhergestellt wird, oder das System muss eine andere verlässliche Methode zur Bestätigung des Zustands bereitstellen.

In komplexeren Produktions- und Technologielinien kann dies einen lokalen Reset für die jeweilige Zone bei gleichzeitiger Aufrechterhaltung der Bereitschaft des übrigen Anlagenteils bedeuten, aber nur dann, wenn die Zonengrenzen, die Abhängigkeiten zwischen den Antrieben und die Auswirkungen der Energierückkehr klar definiert sind. Eine solche Entscheidung muss aus der Funktionsanalyse folgen und nicht aus dem Wunsch, die Bedienung zu vereinfachen.

Ein guter Entscheidungstest ist die Beschreibung der Sequenz und nicht allein des elektrischen Schaltplans. Das Team sollte einige Kontrollfragen beantworten können:

• kehrt nach dem Entriegeln des E-STOP Energie oder Aktorbereitschaft in einer für die Maschine spürbaren Weise zurück,
• kann irgendeine Bewegung ohne separaten Anlaufbefehl auftreten,
• sieht die Person, die den Reset ausführt, die gesamte Zone und kann sie die Anwesenheit von Personen sowie einen Zwischenzustand des Prozesses ausschließen.

Wenn sich auch nur eine dieser Fragen nicht eindeutig mit „sicher“ beantworten lässt, ist eine automatische Rückkehr nur schwer zu rechtfertigen. Das gilt insbesondere für Systeme, in denen das Werkstück nach dem Stopp im Greifer verbleibt, der Zylinder in einer Zwischenstellung stehen geblieben ist, eine Achse über das Drehmoment gehalten wird und das Lösen der Verriegelung ein Absinken oder eine Verlagerung auslösen kann. In solchen Fällen ist ein manueller Reset keine Formalität, sondern erzwingt eine bewusste Prüfung der Situation, bevor die Anlage wieder in den Bereitschaftszustand versetzt wird.

Anders ist es dort, wo das System nach dem Entriegeln des E-STOP passiv bleibt und eine Bewegung erst durch eine separate Handlung des Bedieners oder durch eine übergeordnete Sequenz ausgelöst wird. Dann kann eine automatische Rückkehr Stillstandszeiten verringern, ohne das Sicherheitsniveau zu verschlechtern. Ein Beispiel ist ein Arbeitsplatz mit geschütztem Arbeitsbereich und einem Antrieb, der nach E-STOP keine Bewegung mehr ausführen kann, nach dem Entriegeln jedoch die Steuerungsversorgung und den Bereitschaftszustand zurückerhält, ohne eine Achs- oder Zylinderbewegung auszuführen. Dieselbe Einstellung in der Steuerung wird jedoch fragwürdig bei einer Transfermaschine, bei der das Lösen des E-STOP eine Achse entbremst, den Druck an den Wegeventilen wiederherstellt oder das Fortsetzen eines unterbrochenen Sequenzschritts ermöglicht.

Deshalb muss die Entscheidung nicht nur im Code, sondern auch in den Projektunterlagen abgebildet werden: in Schaltplänen, der Zustandsmatrix, der Beschreibung der Wiederanlaufsequenz, den HMI-Meldungen, den Verfahren zur Beseitigung von Störungen und den Szenarien der Abnahmeprüfungen. Lässt sich diese Logik dem Anwender nicht in einer einzigen schlüssigen Beschreibung erklären – was das Lösen des E-STOP bewirkt, was der Reset bewirkt und was den Prozess startet –, ist das meist ein Zeichen dafür, dass die Funktionsaufteilung fehlerhaft oder zu komplex ist.

Zuerst die Praxis, dann der normative Bezug

In der Praxis entscheidet über die Art des Resets nach dem Ansprechen des Not-Halts nicht die Bezeichnung der Funktion, sondern die Antwort auf eine einfache Frage: Was genau geschieht mit der Maschine nach dem Lösen des Pilztasters, und ist dieser Zustand eindeutig sicher? Das ist eine Konstruktionsentscheidung und weder eine Nutzerpräferenz noch eine gedankliche Abkürzung aus einem früheren Projekt.

Das Team sollte die vollständige Ereigniskette beschreiben können: Stopp, Abbau der Energie auf das durch die Risikobeurteilung geforderte Niveau, Entriegelung der Einrichtung, Reset der Funktion, Bestätigung der Bereitschaft und erst danach der erneute Anlauf. Wenn sich einer dieser Schritte mit einem anderen überlagert oder vom Standardverhalten der Steuerung abhängt, entsteht Spielraum für Streitigkeiten bei der Abnahme und für Bedienfehler im Betrieb, die sich später nicht allein durch eine Betriebsanleitung korrigieren lassen.

Besonders deutlich wird das bei der Anpassung von Maschinen an die Mindestanforderungen einer bestehenden Zelle, bei der der Betreiber nach dem Beseitigen kleiner Störungen kürzere Stillstände erwartet und der Integrator eine automatische Rückkehr nach dem Lösen des E-STOP vorschlägt, um die Bedienung zu vereinfachen. Auf der Ebene der allgemeinen Beschreibung wirkt diese Lösung plausibel: Der Bediener beseitigt die Ursache des Stopps, entriegelt die Einrichtung, und die Maschine kehrt ohne zusätzliche Reset-Taste in den Bereitschaftszustand zurück. Das Problem zeigt sich erst im Zwischenzustand.

Wenn nach dem Wiederherstellen des Arbeitsmediums ein Zylinder in einer Stellung wieder Druck erhält, in der er ohne neue Bedienerabsicht einen Hub, ein Zustellen oder das Entlasten des Greifers ausführen kann, ist die Rückkehr in den Bereitschaftszustand kein neutraler logischer Zustand mehr. Tatsächlich wird sie zu einem Teil der Prozessbewegung, nur unter einer anderen Bezeichnung. Ein solcher Fall erfordert in der Regel keine kosmetische Programmänderung, sondern eine Rückkehr zur Funktionsarchitektur: die Trennung von Entriegelung und Reset, eine ausdrückliche Bestätigung der Bereitschaft oder eine Umgestaltung der Sequenz für Entlüftung und erneute Energiezufuhr.

An diesem Beispiel wird auch deutlich, welche Projektnachweise relevant sind. Es reicht nicht aus zu erklären, dass nach dem Lösen nichts anläuft, wenn bei den Abnahmeprüfungen das Verhalten von Antrieben, Ventilen, Bremsen und Sequenzschritten nicht genau im Moment des Entriegelns des E-STOP geprüft wurde. In der technischen Dokumentation der Maschine sollte für dieses Szenario eine Risikobeurteilung dokumentiert sein, ebenso die Beschreibung der Zustände auf dem HMI, ein Prüfszenario nach dem Lösen des Not-Halts und eine klare Bestätigung der abgestimmten Wiederanlauflogik durch den Anwender. Genau anhand dieser Unterlagen wird später die Stimmigkeit der Lösung bewertet: bei der Maschinenabnahme, bei der Aktualisierung von Verfahren für das Betreten des Bereichs oder von LOTO-Verfahren, bei Ausnahmen für Einricht- und Servicebetrieb und im Fall eines Vorfalls auch bei der Klärung, ob der Bediener das Verhalten des Systems vorhersehen konnte.

Erst vor diesem Hintergrund lohnt sich der Verweis auf ISO 13850. Die Norm ordnet die Rolle des Not-Halts: Er dient dazu, einen gefährlichen Prozess zu stoppen oder die Auswirkungen einer Gefährdung zu begrenzen, und das Entriegeln der Einrichtung darf nicht von selbst einen neuen gefährlichen Zustand erzeugen. Für den Konstrukteur ist die praktische Schlussfolgerung einfach: Allein die Rückkehr der E-STOP-Einrichtung in die entriegelte Stellung darf eine bewusste Handlung, die durch das Sicherheitskonzept der Maschine gefordert ist, nicht ersetzen.

Unter den Gegebenheiten in Polen und der Europäischen Union geht es jedoch nicht nur um die logische Übereinstimmung mit der Norm. Ebenso wichtig ist die Stimmigkeit der gesamten Lösung mit der technischen Dokumentation gemäß CE-Zertifizierung von Maschinen, der Betriebsanleitung, den Ergebnissen der Risikobeurteilung sowie – nach einer Modernisierung – mit dem Umfang der aktualisierten Validierung der Sicherheitsfunktionen. Diese Elemente werden später im Verhältnis zwischen Lieferant und Anwender geprüft, nicht ein einzelner Eintrag im Steuerungsprogramm.

Die praktische Schlussfolgerung ist eindeutig. Wenn der Konstrukteur nicht darlegen kann, was nach dem Lösen des E-STOP geschieht, welche Energien wieder wirksam werden, welche Elemente ihre Position verändern können und warum dieser Zustand sicher ist, dürfen keine verfahrensbezogenen Ausnahmen nach dem Muster „Der Bediener sollte sich dann nicht im Gefahrenbereich aufhalten“ ergänzt werden. Stattdessen muss man zu den Funktionen, der Sequenz und der Aufteilung der Verantwortlichkeiten zwischen Freigabe, Reset und Wiederanlauf zurückkehren. Erst eine Lösung, die sich im Schaltplan, bei den Abnahmeprüfungen, in der Betriebsanleitung und in der Risikobeurteilung nachvollziehbar begründen lässt, kann als technisch ausgereift gelten.