Projektowanie obwodów E-STOP wg ISO 13850 – kiedy reset ręczny, a kiedy automatyczny?

O tym, czy po zadziałaniu zatrzymania awaryjnego stosować reset ręczny czy automatyczny, najlepiej rozstrzygnąć już na etapie koncepcji. Później ta decyzja przestaje być drobnym ustawieniem w programie i zaczyna wpływać jednocześnie na architekturę sterowania, zachowanie napędów i mediów, próby odbiorowe, instrukcję użytkowania oraz sposób obsługi zakłóceń. W praktyce nie chodzi więc o sam wybór rodzaju resetu, lecz o to, jaki stan maszyna osiąga po odblokowaniu E-STOP i czy ten stan jest bezpieczny bez dodatkowego, świadomego działania człowieka.

Reset nie jest detalem

Pytanie o reset po E-STOP bardzo często pojawia się zbyt późno. Gdy logika maszyny jest już domknięta, sekwencje procesu napisane, a układ sterowania ma przyjęte założenia co do stanów napędów i sygnałów po zaniku funkcji bezpieczeństwa, zmiana sposobu resetu przestaje być korektą. Zaczyna wpływać na program sterownika, funkcje bezpieczeństwa w automatyce przemysłowej, próby funkcjonalne, dokumentację i warunki odbioru. Dlatego sposób postępowania po zadziałaniu zatrzymania awaryjnego nie powinien wynikać z przyzwyczajeń projektanta ani z presji na skrócenie postoju.

To decyzja architektoniczna. Trzeba ją powiązać z odpowiedzią na dwa pytania: jaki stan maszyna ma osiągnąć po odblokowaniu urządzenia zatrzymania awaryjnego oraz czy ten stan jest wyłącznie stanem bezpiecznym, czy już stanem gotowości do ruchu. Właśnie tu najczęściej pojawia się błąd. Nie polega on na samym wyborze resetu ręcznego albo automatycznego, lecz na tym, że zespół nie analizuje, czy po zwolnieniu E-STOP maszyna może przejść do stanu, którego operator się nie spodziewa.

Jeżeli zwolnienie przycisku powoduje nie tylko skasowanie funkcji zatrzymania, ale także odtworzenie gotowości napędów, przywrócenie zasilania pneumatyki albo powrót logiki procesu do kroku, z którego ruch może ruszyć po pojedynczym sygnale startu, nie wolno oceniać tego wyłącznie przez pryzmat wygody. Trzeba przeanalizować zamierzony restart, zapobieganie nieoczekiwanemu uruchomieniu i ergonomię obsługi: kto wykonuje reset, z jakiego miejsca oraz czy z tej pozycji rzeczywiście widzi strefę niebezpieczną.

Znaczenie ma zachowanie całego układu po interwencji, a nie tylko sam przycisk E-STOP. Trzeba wiedzieć, czy napędy pozostają odłączone, czy serwonapędy po zwolnieniu wracają do stanu gotowości, czy układ pneumatyczny po odpowietrzeniu ponownie się zasila, czy sygnały w sterowniku są podtrzymywane oraz w jakiej kolejności następują potwierdzenia i odblokowania. Inaczej ocenia się maszynę, która po zwolnieniu zatrzymania awaryjnego pozostaje nieruchoma i wymaga odrębnego, świadomego polecenia uruchomienia, a inaczej taką, która wraca do kroku pośredniego procesu i niemal automatycznie odtwarza warunki do ruchu.

Tu pojawia się najważniejsze kryterium projektowe: nie pytać najpierw, co formalnie wolno zastosować, lecz jaki stan maszyny rzeczywiście nastąpi po odblokowaniu E-STOP i czy ten stan jest bezpieczny bez dodatkowego działania człowieka. Odniesienie normatywne porządkuje tę ocenę, ale jej nie zastępuje. Punkt ciężkości nie leży na wygodzie obsługi, tylko na tym, aby reset nie powodował sam z siebie sytuacji niebezpiecznej.

Gdzie naprawdę rośnie ryzyko i koszt

Najwięcej błędów projektowych nie pojawia się tam, gdzie maszyna po zadziałaniu E-STOP po prostu stoi, lecz tam, gdzie zatrzymanie następuje w stanie pośrednim. Dotyczy to zwłaszcza linii pakujących, gniazd z robotem, układów z dociskiem, napędów wieloosiowych oraz obwodów z energią zgromadzoną w pneumatyce, hydraulice lub elementach mechanicznych. W takich układach usunięcie przyczyny zatrzymania nie oznacza jeszcze, że można bezpiecznie wrócić do pracy.

Produkt może pozostać zakleszczony, oś może zatrzymać się poza pozycją bezpieczną, chwytak może nadal trzymać detal, a ciśnienie lub moment mogą nadal oddziaływać na mechanizm. W takiej sytuacji wybór między resetem ręcznym a automatycznym nie dotyczy wygody operatora, lecz tego, jaki stan maszyny rzeczywiście powstanie po zwolnieniu E-STOP i czy człowiek prawidłowo go odczyta.

Z punktu widzenia projektu najgroźniejsze są rozwiązania pośrednie. Formalnie nie uruchamiają cyklu, ale faktycznie przywracają zdolność maszyny do wykonania ruchu albo wywołują ruch pomocniczy. Automatyczny reset kusi tam, gdzie liczy się dostępność i szybki powrót do produkcji, jednak po zwolnieniu E-STOP sterownik może odtworzyć gotowość napędów, uzbroić wyjścia, przywrócić ciśnienie lub odblokować hamulce. Operator widzi wtedy maszynę jako nadal zatrzymaną, choć z punktu widzenia energii i logiki sterowania nie jest ona już bierna.

To właśnie takie półautomatyczne zachowania najczęściej prowadzą do sporów przy odbiorze. Maszyna nie rusza sama pełnym cyklem, ale odzyskuje energię, zaciska element, dojeżdża do pozycji bazowej albo uruchamia funkcję pomocniczą. Z projektowego punktu widzenia nie są to detale interfejsu, lecz decyzje o granicy między dopuszczalnym przywróceniem gotowości a niedopuszczalnym wznowieniem działania.

W praktyce problem zwykle ma charakter mieszany, bo łączy bezpieczeństwo z organizacją pracy. Reset ręczny obniża ryzyko nieoczekiwanego wznowienia, ale źle zaprojektowany szybko generuje własne koszty. Jeżeli przycisk resetu umieszczono poza polem widzenia strefy, wymaga dodatkowego dojścia albo nie jest wyraźnie oddzielony od odblokowania E-STOP i od komendy start, obsługa zaczyna traktować procedurę jako przeszkodę. Wtedy pojawiają się obejścia, interwencje utrzymania ruchu, poprawki instrukcji i dodatkowe szkolenia. Jeżeli użytkownik nie potrafi jednoznacznie odczytać różnicy między odblokowaniem grzybka, resetem obwodu bezpieczeństwa i ponownym uruchomieniem procesu, problem nie leży wyłącznie w treści normy, lecz w całej architekturze obsługi, łącznie z komunikatami HMI i podziałem na strefy maszyny.

Dobrym przykładem jest gniazdo z przenośnikiem i chwytakiem pneumatycznym. Po zadziałaniu E-STOP transporter staje, chwytak pozostaje w położeniu pośrednim, a detal nie zostaje odłożony. Po zwolnieniu E-STOP sterowanie przywraca zasilanie pneumatyczne, ponieważ nie ma odrębnej logiki bezpiecznego odciążenia układu. Formalnie nie padła komenda start, ale siłownik odzyskuje energię i element wykonawczy wykonuje krótki, nieoczekiwany ruch wynikający wyłącznie z powrotu ciśnienia. Taki przypadek bywa trudny do odtworzenia podczas prób, ale bardzo szybko niszczy zaufanie użytkownika do maszyny.

Skutki wykraczają poza samo ryzyko urazu. Pojawiają się interwencje utrzymania ruchu, wydłużony odbiór, poprawki programu, dopisywanie wyjątków do instrukcji oraz spory o to, czy po E-STOP należy zrzucać ciśnienie lub moment napędowy, czy tylko blokować dalsze polecenia ruchu. Podobne problemy występują przy automatycznym bazowaniu po zatrzymaniu oraz przy centralnym obwodzie E-STOP obejmującym strefy o różnej widoczności i różnych skutkach powrotu energii.

Na tym etapie odniesienie do PN‑EN ISO 13850 i wymagań dla wyłącznika awaryjnego ma znaczenie porządkujące. Sam fakt, że po zwolnieniu E-STOP nie następuje pełny start cyklu, nie rozstrzyga jeszcze, czy rozwiązanie jest akceptowalne. Trzeba ocenić, czy powrót energii, odtworzenie gotowości napędów, zadziałanie chwytu, odhamowanie osi albo ruch do pozycji bazowej nie tworzą stanu niebezpiecznego lub mylącego dla operatora. Dlatego w praktyce należy patrzeć nie na sam sygnał resetu, lecz na całą sekwencję.

Jak podjąć decyzję projektową

Decyzję o resecie po zadziałaniu zatrzymania awaryjnego warto zacząć od opisu stanów maszyny, a nie od pytania o wygodę obsługi. Trzeba jednoznacznie rozpisać, co dzieje się po naciśnięciu E-STOP oraz po jego odblokowaniu: które tory energii są odłączane, które pozostają zasilone, czy wraca gotowość napędów, czy odhamowują się osie, czy siłowniki mogą dokończyć ruch pod wpływem ciśnienia resztkowego, grawitacji albo energii sprężystej oraz czy po przywróceniu gotowości istnieje jakakolwiek sekwencja samoczynna.

Dopiero na tej podstawie można odpowiedzieć, czy samo zwolnienie grzybka jest neutralne z punktu widzenia bezpieczeństwa, czy już stanowi zmianę stanu mogącą narazić człowieka. Jeżeli odblokowanie E-STOP przywraca energię w sposób, którego skutków operator nie widzi w pełni albo który może zmienić położenie elementów wykonawczych, punktem wyjścia staje się reset ręczny. Jeżeli natomiast odblokowanie nie wywołuje ruchu, nie odtwarza niebezpiecznej energii i nie uruchamia żadnej sekwencji, można rozważać automatyczny powrót do stanu gotowości, ale tylko wtedy, gdy dalszy rozruch procesu wymaga odrębnej, jednoznacznej komendy.

W praktyce pomaga rozdzielenie trzech czynności, które zbyt często są mieszane w jednym sygnale albo jednym komunikacie operatorskim. Odblokowanie urządzenia zatrzymania awaryjnego jest czynnością mechaniczną i oznacza jedynie, że przycisk wrócił do położenia gotowości. Reset funkcji bezpieczeństwa jest osobnym potwierdzeniem, że można ponownie uznać warunki bezpieczeństwa za spełnione. Rozruch procesu to jeszcze coś innego: decyzja o rozpoczęciu ruchu albo wznowieniu cyklu.

Jeżeli te poziomy nakładają się na siebie, użytkownik przestaje rozumieć, czy zwolnienie E-STOP już coś uruchamia, czy tylko usuwa blokadę, a zespół projektowy traci możliwość obrony przyjętej logiki podczas oceny zgodności. Z tego samego powodu lokalizacja przycisku reset ma znaczenie projektowe, a nie kosmetyczne. Osoba wykonująca reset powinna mieć możliwość oceny strefy, dla której przywraca gotowość, albo system musi zapewniać inną wiarygodną metodę potwierdzenia stanu.

W bardziej złożonych liniach może to oznaczać reset lokalny dla danej strefy przy zachowaniu gotowości pozostałej części instalacji, ale tylko wtedy, gdy granice stref, zależności między napędami i skutki przywrócenia energii są jasno zdefiniowane. Taka decyzja musi wynikać z analizy funkcji, a nie z chęci uproszczenia obsługi.

Dobrym testem decyzyjnym jest opis sekwencji, a nie samego schematu elektrycznego. Zespół powinien umieć odpowiedzieć na kilka pytań kontrolnych:

• czy po zwolnieniu E-STOP wraca energia lub gotowość wykonawcza w sposób odczuwalny dla maszyny,
• czy jakikolwiek ruch może wystąpić bez osobnej komendy rozruchu,
• czy osoba wykonująca reset widzi całą strefę i może wykluczyć obecność człowieka oraz stan pośredni procesu.

Jeżeli na którekolwiek z tych pytań odpowiedź nie jest jednoznacznie bezpieczna, automatyczny powrót staje się rozwiązaniem trudnym do uzasadnienia. Dotyczy to zwłaszcza układów, w których po zatrzymaniu detal pozostaje w uchwycie, siłownik zatrzymał się w położeniu pośrednim, oś jest utrzymywana momentem, a zanik blokady może wywołać opadanie lub przemieszczenie. W takich przypadkach ręczny reset nie jest formalizmem, lecz wymusza świadome sprawdzenie sytuacji przed przywróceniem gotowości.

Z kolei tam, gdzie po odblokowaniu E-STOP układ pozostaje bierny, a uruchomienie ruchu wymaga osobnego działania operatora albo nadrzędnej sekwencji, automatyczny powrót może ograniczać przestoje bez pogorszenia poziomu bezpieczeństwa. Przykładem może być stanowisko z osłoniętą strefą roboczą i napędem, który po E-STOP traci możliwość ruchu, ale po odblokowaniu odzyskuje zasilanie sterowania i stan gotowości, nie wykonując żadnego ruchu osi ani siłownika. Ten sam zapis w sterowniku staje się jednak wątpliwy w maszynie transferowej, gdzie zwolnienie E-STOP odhamowuje oś, przywraca ciśnienie na rozdzielacze albo pozwala dokończyć przerwany krok sekwencji.

Dlatego decyzję trzeba ująć nie tylko w kodzie, ale także w dokumentach projektowych: w schematach, matrycy stanów, opisie sekwencji restartu, komunikatach HMI, procedurach usuwania zacięć i scenariuszach prób odbiorowych. Jeżeli tej logiki nie da się wyjaśnić użytkownikowi jednym spójnym opisem — co robi zwolnienie E-STOP, co robi reset, a co uruchamia proces — to zwykle znak, że podział funkcji jest błędny albo zbyt złożony.

Najpierw praktyka, potem odniesienie normatywne

W praktyce o sposobie resetu po zadziałaniu zatrzymania awaryjnego nie rozstrzyga nazwa funkcji, lecz odpowiedź na proste pytanie: co dokładnie stanie się z maszyną po zwolnieniu grzybka i czy ten stan jest jednoznacznie bezpieczny. To decyzja projektowa, a nie preferencja użytkownika ani skrót myślowy przeniesiony z poprzedniej realizacji.

Zespół powinien umieć opisać pełny łańcuch zdarzeń: zatrzymanie, wygaszenie energii do poziomu wymaganego przez ocenę ryzyka, odblokowanie urządzenia, reset funkcji, potwierdzenie gotowości i dopiero ponowny rozruch. Jeżeli którykolwiek z tych etapów nakłada się na inny albo zależy od domyślnego zachowania sterownika, pojawia się pole do sporów przy odbiorze i do błędów eksploatacyjnych, których nie da się później naprawić samą instrukcją.

Dobrze widać to przy modernizacji istniejącego gniazda, w którym użytkownik oczekuje krótszych postojów po usunięciu drobnych zakłóceń, a integrator proponuje automatyczny powrót po zwolnieniu E-STOP, aby uprościć obsługę. Na poziomie ogólnego opisu rozwiązanie wygląda rozsądnie: operator usuwa przyczynę zatrzymania, odblokowuje urządzenie i maszyna wraca do gotowości bez dodatkowego przycisku resetu. Problem ujawnia się dopiero w stanie pośrednim.

Jeżeli po przywróceniu medium roboczego siłownik odzyskuje ciśnienie w takim położeniu, że może wykonać skok, dosuw albo odciążenie chwytaka bez nowej intencji operatora, to powrót do gotowości przestaje być neutralnym stanem logicznym. W rzeczywistości staje się fragmentem ruchu procesu, tylko ukrytym pod inną nazwą. Taki przypadek wymaga zwykle nie kosmetyki programu, lecz powrotu do architektury funkcji: rozdzielenia odblokowania od resetu, jawnego potwierdzenia gotowości albo przebudowy sekwencji odpowietrzenia i ponownego podania energii.

Na tym przykładzie widać także, jakie dowody projektowe mają znaczenie. Nie wystarczy deklaracja, że po zwolnieniu nic nie startuje, jeżeli w próbach odbiorowych nie sprawdzono zachowania napędów, zaworów, hamulców i kroków sekwencji dokładnie w chwili odblokowania E-STOP. W dokumentacji technicznej maszyn powinien istnieć zapis analizy ryzyka dla tego scenariusza, opis stanów na HMI, scenariusz próby po zwolnieniu zatrzymania awaryjnego oraz jasne potwierdzenie uzgodnionej logiki restartu przez użytkownika. To właśnie w tych materiałach później ocenia się spójność rozwiązania: przy odbiorze maszyny, przy aktualizacji procedur wejścia do strefy lub procedur LOTO, przy wyjątkach dla trybu nastawczego i serwisowego, a w razie incydentu także przy wyjaśnianiu, czy operator mógł przewidzieć zachowanie układu.

Dopiero na takim tle warto odwołać się do ISO 13850. Norma porządkuje rolę zatrzymania awaryjnego: ma ono służyć zatrzymaniu procesu niebezpiecznego albo ograniczeniu skutków zagrożenia, a odblokowanie urządzenia nie może samo z siebie tworzyć nowego stanu niebezpiecznego. Dla projektanta praktyczny wniosek jest prosty: sam powrót urządzenia E-STOP do położenia odblokowanego nie może zastępować świadomego działania wymaganego przez koncepcję bezpieczeństwa maszyny.

W realiach polskich i unijnych nie chodzi jednak wyłącznie o logiczną zgodność z normą. Równie istotna jest spójność całego rozwiązania z dokumentacją techniczną zgodną z Dyrektywą Maszynową, instrukcją użytkowania, wynikami oceny ryzyka oraz, po modernizacji, z zakresem aktualizacji walidacji funkcji bezpieczeństwa. To te elementy będą później badane w relacji dostawca–użytkownik, a nie pojedynczy zapis w programie sterownika.

Wniosek praktyczny jest jednoznaczny. Jeżeli projektant nie potrafi pokazać, co dzieje się po zwolnieniu E-STOP, jakie energie wracają, które elementy mogą zmienić położenie i dlaczego ten stan jest bezpieczny, nie należy dopisywać wyjątków proceduralnych w rodzaju „operator nie powinien wtedy stać w strefie”. Trzeba wrócić do funkcji, sekwencji i podziału odpowiedzialności między odblokowanie, reset oraz ponowny rozruch. Dopiero rozwiązanie, które da się obronić na schemacie, w próbach akceptacyjnych, w instrukcji i w ocenie ryzyka, można uznać za dojrzałe technicznie.