STO, SS1 czy SS2 – jak bezpiecznie zatrzymać maszynę

Bezpieczne zatrzymanie maszyny to jeden z najważniejszcyh elementów bezpieczeństwa funkcjonalnego w przemyśle. Inżynier automatyk często staje przed pytaniem: czy wystarczy po prostu odciąć zasilanie, czy lepiej zastosować kontrolowane hamowanie, a może utrzymać napęd pod napięciem? W praktyce odpowiedź sprowadza się do doboru właściwej funkcji zatrzymania: Safe Torque Off (STO), Safe Stop 1 (SS1) lub Safe Stop 2 (SS2). W tym artykule krok po kroku wyjaśniamy, jak działają te funkcje, kiedy którą zastosować oraz na co zwrócić uwagę przy projektowaniu systemu bezpieczeństwa maszyny. Wszystko to w oparciu o normy i dobre praktyki – ale przedstawione w praktyczny, inżynierski sposób, by lektura nie była sucha niczym instrukcja obsługi.

Bezpieczne zatrzymanie maszyny krok po kroku

Zanim zagłębimy się w szczegóły STO, SS1 i SS2, warto zrozumieć kategorie bezpiecznego zatrzymania zdefiniowane w normach. Norma PN-EN 60204-1 wyróżnia trzy scenariusze (kategorie) zatrzymania, które odpowiadają naszym funkcjom bezpieczeństwa:

1. Kategoria 0 (STO) – zatrzymanie awaryjne poprzez natychmiastowe odcięcie zasilania napędu, bez kontrolowanego hamowania. To najszybszy sposób na zatrzymanie maszyny, odpowiada klasycznemu uderzeniu w grzyba awaryjnego. Niestety jest to zatrzymanie niekontrolowane – nie chroni mechanizmów przed skutkami gwałtownego stopu. Może się więc okazać zbyt brutalne dla delikatnych maszyn, a także powodować długie czasy ponownego rozruchu urządzenia.
2. Kategoria 1 (SS1) – zatrzymanie kontrolowane, gdzie system najpierw aktywnie hamuje maszynę, a dopiero gdy ruch ustanie, odcina zasilanie (przechodząc w STO). Innymi słowy, silnik wytraca prędkość pod kontrolą napędu, po czym następuje bezpieczne wyłączenie momentu. Takie podejście minimalizuje szarpnięcia i pozwala zatrzymać ruch w bardziej cywilizowany sposób. Wymaga co prawda chwili czasu na zahamowanie, ale za to redukuje ryzyko uszkodzeń mechanicznych. Typowe zastosowanie to sytuacje, gdy bezpieczeństwo wymaga spowolnienia ruchu zamiast natychmiastowego odcięcia – np. linie produkcyjne z delikatnymi elementami, gdzie nagłe zatrzymanie mogłoby uszkodzić produkt.
3. Kategoria 2 (SS2) – zatrzymanie kontrolowane z utrzymaniem momentu po zatrzymaniu. W tym przypadku po wyhamowaniu silnika zasilanie nie jest odłączane, lecz napęd przechodzi w stan podtrzymania bezpiecznego postoju (funkcja SOS – Safe Operating Stop). Silnik pozostaje zasilony i aktywnie utrzymuje pozycję, zapobiegając jakimkolwiek ruchom. Takie rozwiązanie jest niezbędne tam, gdzie po zatrzymaniu wymagana jest stabilizacja pozycji – np. w windach przemysłowych lub maszynach z elementami zawieszonymi (żeby ładunek nie zaczął opadać). Zaletą kategorii 2 jest także możliwość szybkiego wznowienia pracy, ponieważ układ napędowy pozostaje w gotowości.

Powyższy podział pozwala dobrać sposób zatrzymania do specyfiki maszyny i zagrożeń. Inaczej zatrzymamy mały przenośnik taśmowy, a inaczej potężną suwnicę z wielką bezwładnością. Ważne, by analiza ryzyka na etapie projektowania wskazała nam, jaki scenariusz zatrzymania gwarantuje bezpieczeństwo ludzi i sprzętu. Pamiętajmy też, że zgodnie z przepisami zatrzymanie awaryjne (E-STOP) maszyny powinno być zrealizowane w kategorii 0 lub 1 – czyli jako STO albo SS1. Kategoria 2 (SS2) z zasilaniem pozostawionym pod napięciem nie jest przewidziana dla typowego grzyba awaryjnego, bo w sytuacji ratowania życia chcemy maksymalnie zredukować wszelkie źródła energii. SS2 znajdzie jednak zastosowanie w innych trybach zatrzymania, o czym za chwilę.

Jak działa funkcja Safe Torque Off (STO)

Safe Torque Off (STO) to najprostsza i podstawowa funkcja bezpiecznego zatrzymania. Jej działanie polega na natychmiastowym odłączeniu energii do silnika – czy to poprzez odcięcie napięcia wyjściowego falownika, czy rozłączenie styczników w obwodzie zasilania. W efekcie silnik przestaje wytwarzać moment obrotowy (lub siłę, w przypadku siłowników liniowych). Innymi słowy, napęd nie może już napędzać ruchomych części maszyny. STO odpowiada zatem zatrzymaniu niekontrolowanemu kategorii 0, zgodnie z wcześniejszym opisem.

Trzeba podkreślić: STO nie hamuje aktywnie silnika – on po prostu swobodnie się wybiega, aż zatrzyma go tarcie i opory ruchu. Dlatego czas zatrzymania przy STO zależy od bezwładności układu. W maszynach o małej inercji i dużych oporach (np. mały silnik z przekładnią ślimakową) ruch ustanie prawie od razu. Ale jeśli mamy szybko wirujące wrzeciono lub ciężki rotor o dużej masie, to po odcięciu zasilania może on kręcić się jeszcze przez dłuższą chwilę. STO sprawdza się więc najlepiej tam, gdzie nie jest wymagane natychmiastowe zatrzymanie całego napędu – naturalne siły oporu wystarczą, by wyhamować maszynę w akceptowalnym czasie.

Zaletą STO jest prostota i wysoka niezawodność. To funkcja wbudowana dziś praktycznie w każdy nowoczesny przemiennik częstotliwości czy serwowzmacniacz. Spełnia rygorystyczne wymagania norm (często SIL 2 lub SIL 3, PL d/e), więc może zastąpić klasyczne styczniki odcinające zasilanie. Dzięki STO możemy zapobiec niespodziewanym startom silnika – funkcja ta jest podstawową ochroną przed niekontrolowanym ruchem po wyłączeniu maszyny. Przycisk awaryjny zwykle właśnie aktywuje STO, odcinając energię i unieruchamiając napęd w najprostszy możliwy sposób.

Ograniczenia? Ponieważ STO nie kontroluje hamowania, nie chroni przed skutkami bezwładności. Jeśli zatrzymujemy np. taśmociąg pełen towaru tylko odcinając zasilanie, to towar może się z niego zsuwać rozpędem. W przypadku osi pionowych (np. suwnica, winda) samo STO może być wręcz niebezpieczne – odcięcie momentu grozi opadnięciem zawieszonego ładunku pod wpływem grawitacji. Dlatego w pewnych zastosowaniach STO musi być uzupełnione o dodatkowe środki, np. mechaniczne hamulce zatrzymujące ruch. Stosuje się wtedy funkcję SBC (Safe Brake Control), która w parze ze STO bezpiecznie zaciąga hamulec mechaniczny na silniku lub osi. Takie rozwiązanie jest standardem np. we wspomnianych suwnicach czy windach – od razu po odcięciu momentu za pomocą STO, hamulec utrzymuje ładunek w miejscu.

Podsumowując: STO natychmiast odcina moment i zapobiega generowaniu siły przez silnik. To szybkie zatrzymanie awaryjne kategorii 0, idealne gdy liczy się każda sekunda odcięcia energii. Należy jednak upewnić się, że samoczynne dobiegnięcie maszyny nie stwarza zagrożenia – a jeśli stwarza, to uzupełnić STO o hamulce lub sięgnąć po SS1.

Safe Stop 1 (SS1) – kontrolowane hamowanie do zatrzymania

Gdy zależy nam na kontrolowanym zatrzymaniu maszyny, z pomocą przychodzi Safe Stop 1 (SS1). Funkcja SS1 realizuje dwufazowe zatrzymanie. W pierwszej fazie napęd aktywnie hamuje silnik – ogranicza prędkość według zadanej rampy hamowania lub monitoruje czas hamowania. Gdy prędkość spadnie prawie do zera, rozpoczyna się druga faza: automatyczne przełączenie w STO (bezpieczne odłączenie momentu) i ewentualnie zadziałanie hamulca mechanicznego (SBC) w celu pełnego unieruchomienia osi. Innymi słowy, SS1 najpierw wytraca energię ruchu w kontrolowany sposób, a potem odcina zasilanie tak jak STO.

Taki tryb odpowiada zatrzymaniu kategorii 1 z normy – czyli kontrolowane hamowanie + odłączenie zasilania. SS1 jest zalecane, gdy wymagane jest jak najszybsze, ale i kontrolowane zatrzymanie maszyny. Typowa sytuacja: urządzenie pracuje z dużą prędkością albo ma znaczną bezwładność. Gwałtowne odcięcie zasilania (STO) spowoduje długie wybieganie lub silne szarpnięcie mechaniczne przy nagłym stopie. Zamiast tego SS1 hamuje dynamicznie silnikiem – co często pozwala zatrzymać się szybciej niż przy samym tarciu – a jednocześnie robi to w sposób monitorowany, więc bezpieczny dla mechaniki.

Przykłady? Piły tarczowe, szlifierki, wirówki, prasy mechaniczne – generalnie maszyny o dużej energii wirującej powinny być zatrzymywane za pomocą SS1. Wyobraźmy sobie dużą piłę taśmową: naciśnięcie STOP powoduje, że falownik wprowadza rampę hamowania i szybko wytraca obroty piły. Gdy piła się zatrzyma, następuje odcięcie momentu (STO) i maszyna pozostaje bezpiecznie unieruchomiona. Dzięki temu zatrzymanie jest o wiele szybsze niż czekanie, aż piła sama się zatrze, a jednocześnie nie ma ryzyka uszkodzenia napędu czy materiału przez nagłe szarpnięcie – hamowanie jest pod pełną kontrolą układu.

Warto wiedzieć, że norma PN-EN 61800-5-2 dopuszcza różne sposoby realizacji SS1. Producenci napędów oferują np. wariant SS1-r (ramp monitoring) – gdzie układ monitoruje rampę hamowania i włącza STO, gdy prędkość spadnie poniżej ustalonego progu – albo SS1-t (time controlled), gdzie STO załącza się po ustalonym czasie, niezależnie od prędkości. Niezależnie od implementacji, cel jest ten sam: zatrzymać ruch tak szybko, jak to bezpiecznie możliwe, a na końcu odłączyć energię. SS1 zazwyczaj wymaga bardziej zaawansowanego sterowania (np. modułu bezpieczeństwa w falowniku lub sterownika safety PLC), ale większość nowoczesnych napędów ma już te funkcje w standardzie lub jako opcję.

Na marginesie, SS1 to częsty wybór do realizacji zatrzymania awaryjnego kategorii 1 – czyli np. naciśnięcia grzyba, po którym maszyna ma wyhamować zamiast od razu odpaść zasilanie. Taki awaryjny stop z kontrolowanym hamowaniem jest wymagany, gdy natychmiastowe odcięcie zasilania mogłoby zwiększyć zagrożenie (np. materiał mógłby się wysypać z szybko obracającego bębna). W praktyce implementuje się go tak, że po wciśnięciu E-STOP kontroler bezpieczeństwa wydaje komendę hamowania do falownika (rampa SS1), a jeżeli w określonym czasie prędkość nie spadnie do zera – to i tak odcina zasilanie dla pewności. Wiąże się to z tym, że zatrzymanie awaryjne musi zawsze zadziałać, nawet jeśli hamowanie zawiedzie. Projektant systemu bezpieczeństwa powinien przewidzieć taki scenariusz.

Safe Stop 2 (SS2) – zatrzymanie z podtrzymaniem pozycji

Pozostaje nam trzecia z funkcji – Safe Stop 2 (SS2). SS2 to poniekąd rozszerzenie SS1. Również realizuje zatrzymanie w dwóch fazach (hamowanie + bezpieczny postój), ale różnica polega na tym, że nie odłączamy zasilania po zatrzymaniu silnika. Zamiast przechodzić w STO, napęd aktywnie utrzymuje moment na silniku przy zerowej prędkości, wykorzystując funkcję SOS (Safe Operating Stop). Innymi słowy, silnik zostaje bezpiecznie zatrzymany w określonej pozycji i ta pozycja jest stale monitorowana oraz utrzymywana przez układ sterowania. Taki bezpieczny postój pod napięciem odpowiada zatrzymaniu kontrolowanemu kategorii 2, o którym była mowa wcześniej.

Co nam to daje? Przede wszystkim – szybki restart maszyny. Ponieważ silnik cały czas jest zasilony (choć w stanie zerowej prędkości), można natychmiast wznowić ruch bez dodatkowych procedur. Dla porównania, po SS1 (kategoria 1) układ przechodzi w STO, więc żeby ruszyć ponownie, trzeba najpierw ponownie zezwolić na zasilanie napędu, co bywa czasochłonne (wymaga resetu układu bezpieczeństwa itp.). SS2 eliminuje tę zwłokę – ruch może zostać odblokowany praktycznie od razu, gdy warunki bezpieczeństwa na to pozwolą.

SS2 stosujemy tam, gdzie maszyna lub jej część ma pozostać zatrzymana tylko przez krótki czas i chcemy szybko ją wznowić albo gdzie wymagany jest postój w gotowości do dalszej pracy. Często wynika to ze specyfiki procesu technologicznego lub potrzeby regularnych, krótkich interwencji operatora. Przykładem może być linia produkcyjna, w której co pewien czas operator musi podejść i coś wyczyścić, ustawić czujnik, usunąć wadliwy produkt. Zamiast wyłączać całą maszynę (i potem ją mozolnie uruchamiać ponownie), można zastosować SS2: linia się kontrolowanie zatrzymuje i pozostaje na bezpiecznym postoju, operator robi swoje przez minutę, po czym uruchamia maszynę dalej bez pełnego restartu. Innym przykładem jest kalibracja systemu wizyjnego na maszynie – zatrzymujemy przenośnik w dokładnie ustalonym miejscu, a kamera pozostaje włączona i gotowa do dalszej pracy po dokonaniu regulacji.

W aplikacjach typu robotyka czy montaż, SS2 bywa wykorzystywane do tzw. zatrzymania w trybie gotowości – robot zatrzyma się w określonej pozycji, trzyma ją (np. z narzędziem nad detalem) podczas krótkiej przerwy, a potem rusza dalej bez potrzeby ponownej kalibracji. Ważne jest jednak, by pamiętać, że układ pozostaje pod napięciem – dlatego SS2 nie jest stosowany dla zatrzymania awaryjnego, tylko dla zatrzymań kontrolowanych przy planowanych przerwach lub trybach serwisowych. Normy jasno wymagają, aby w razie sytuacji awaryjnej jednak odłączyć zasilanie (STO lub SS1).

Z technicznego punktu widzenia implementacja SS2 wymaga, aby napęd posiadał funkcję monitorowania prędkości i pozycji (SOS) i miał certyfikację dla trzymania momentu w stanie bezruchu. Wiele nowoczesnych napędów ma taką możliwość – np. servo drive’y z modułami bezpieczeństwa potrafią same wykryć, czy silnik stoi, i utrzymać go bezpiecznie na zadanej pozycji. Jeśli jest ryzyko, że obciążenie jednak zacznie się poruszać (np. z powodu grawitacji w osi pionowej), to i tak zwykle stosuje się dodatkowo hamulec mechaniczny dla pełnej pewności. SS2 nie zwalnia nas z myślenia o fizyce – to, że prąd płynie w silnik trzymając go na pozycji, nie zawsze wystarczy w razie np. poważnej usterki. Zwykle jednak w czasie krótkich postojów nic złego się nie dzieje, a zyskujemy na ciągłości pracy.

Czy SS1 wystarczy w aplikacjach z dużą inercją?

Pora odpowiedzieć na pytanie, które zadaje sobie wielu projektantów: czy w systemach o dużej bezwładności wystarczy zastosować SS1, czy trzeba czegoś więcej? Duża inercja (bezwładność) oznacza, że maszyna magazynuje sporo energii kinetycznej – a więc trudniej ją szybko zatrzymać. Intuicja podpowiada, że samo STO byłoby niewystarczające, bo ciężkie części długo by wybiegały. SS1 wydaje się zatem minimum, by aktywnie wyhamować napęd. I rzeczywiście, w większości przypadków SS1 jest złotym standardem dla maszyn z dużą bezwładnością – zapewnia najszybsze zatrzymanie, bo napęd pracuje jak hamulec. Wspomniane wcześniej przykłady (piły, wirówki, prasy) to właśnie maszyny o sporej masie wirującej, gdzie SS1 jest wręcz koniecznością.

Czy jednak SS1 zawsze wystarczy? To zależy od okoliczności. SS1 gwarantuje nam zatrzymanie ruchu, ale po zakończeniu hamowania następuje odłączenie zasilania (STO). Jeżeli nasza aplikacja ma tylko zatrzymać ciężki mechanizm i czekać, aż operator usunie detal czy uzupełni surowiec, to SS1 prawdopodobnie w pełni spełni zadanie – maszyna stanie bezpiecznie, a odcięcie mocy zapobiegnie jakimkolwiek niespodziankom. Musimy jedynie zadbać, by napęd i jego komponenty były przystosowane do pochłonięcia energii hamowania (np. odpowiednie rezystory hamujące w falowniku, żeby się nie uszkodził przy wytracaniu dużej energii). Projektant automatyki przemysłowej powinien zweryfikować, czy falownik/serwonapęd ma wystarczającą moc hamowania dla danej bezwładności – to częsty błąd, że funkcja bezpieczeństwa działa, ale napęd wyrzuca błąd przeciążenia przy próbie hamowania ciężkiego koła zamachowego.

Drugą kwestią jest to, co dzieje się po zatrzymaniu. Jeśli układ ma dużą bezwładność, ale zatrzymuje się w stabilnej pozycji (np. poziomo leżący walec po prostu przestaje się obracać), to w porządku. Natomiast w maszynach, gdzie duża masa może się przemieścić pod wpływem sił zewnętrznych (choćby grawitacji), samo SS1 może nie wystarczyć – bo po przejściu w STO ciężar zacznie się ruszać. Przykład: wielkogabarytowy przenośnik nachylony pod kątem – ma dużą masę taśmy i towaru. Wyhamujemy go silnikiem (SS1), ale gdy odetniemy moc, istnieje ryzyko, że grawitacja ruszy taśmę w dół. W takich sytuacjach konieczne jest dodanie mechanicznej blokady ruchu. Może to być wspomniany wcześniej hamulec SBC, który w momencie odcięcia zasilania zaciśnie się i utrzyma pozycję. Bez tego ani rusz – sama funkcja elektryczna nie pokona praw fizyki. Innymi słowy, SS1 musi być uzupełnione o środki mechaniczne, gdy aplikacja tego wymaga.

A może SS2 będzie lepsze dla dużej inercji? W końcu SS2 utrzymuje moment, więc nie ma ryzyka puszczenia ciężaru. To prawda, SS2 zapewnia aktywne trzymanie pozycji po zatrzymaniu, co jest korzystne np. dla osi pionowych z obciążeniem. Jednak w większości przypadków i tak stosuje się tam hamulec mechaniczny jako dodatkową asekurację. SS2 natomiast przyda się wtedy, gdy zależy nam na szybkim ponownym ruszeniu – czyli jeśli ten ciężki układ ma ruszyć z miejsca często i nie chcemy za każdym razem resetować napędu. Sama duża bezwładność nie wymusza SS2, wymusza natomiast hamowanie kontrolowane – a to już zapewnia SS1. Reasumując: w maszynach o dużej inercji SS1 z dobrze zaprojektowanym układem hamowania zwykle w zupełności wystarcza, pod warunkiem że uwzględnimy dodatkowe hamulce przy osiach, które mogłyby się same poruszyć. SS2 może być dodane, jeśli zyski z szybszego restartu są dla nas istotne, albo jeśli wymagany jest postój w gotowości (ale to już kwestie procesu technologicznego, nie samej inercji).

STO, SS1 i SS2 to trzy różne odpowiedzi na pytanie, jak zatrzymać maszynę bezpiecznie. Każda z tych funkcji ma swoje miejsce w arsenale inżyniera automatyka. STO odcina natychmiast energię – prosto i niezawodnie, ale pozwalając maszynie wybiec siłą rozpędu. SS1 dodaje kontrolowane hamowanie, dzięki czemu zatrzymanie jest szybsze i łagodniejsze dla mechaniki, a po zatrzymaniu maszyna jest beznapięciowa. SS2 z kolei zatrzymuje równie szybko jak SS1, lecz trzyma maszynę w ryzach pod napięciem, gotową do ponownego startu w mgnieniu oka.

W projektowaniu bezpiecznych układów sterowania warto kierować się zarówno normami (PN-EN 61800-5-2 dokładnie opisuje te funkcje, jak i zdrowym rozsądkiem oraz analizą ryzyka. Dokumenty podpowiedzą nam, co jest wymagane prawnie, ale to my – jako integratorzy automatyki przemysłowej – musimy dopasować rozwiązanie do konkretnej maszyny. Czasem najprostsze STO będzie najlepsze (mniej rzeczy do zepsucia się!), a czasem bez SS1 ani rusz, bo inaczej sprzęt by się rozleciał przy awaryjnym stopie. W innych sytuacjach docenimy SS2, które oszczędzi nam przestojów i pozwoli szybko wznawiać cykl pracy.

Na koniec pamiętajmy: żadna z tych funkcji nie zadziała cudów, jeśli źle ją zaprojektujemy lub użyjemy niezgodnie z przeznaczeniem. Trzeba zadbać o odpowiednie komponenty (falowniki z certyfikatem STO/SS1/SS2, czujniki, sterowniki bezpieczeństwa), poprawną konfigurację i regularne testy. Warto również rozważyć szkolenia z zakresu norm czy standardow (np. Dyrektywa Maszynowa 2006/42/WE, PN-EN ISO 13849-1, PN-EN 62061), bo znajomość przepisów idzie w parze z praktyką inżynierską. Mamy nadzieję, że ten artykuł rzucił nieco światła na dylemat STO vs SS1 vs SS2. Następnym razem, gdy przyjdzie zaprojektować bezpieczne zatrzymanie maszyny, będziesz mógł świadomie wybrać najlepszą opcję – a przede wszystkim, zapewnić maksymalne bezpieczeństwo bez kompromisów dla procesu. Powodzenia w projektach i zawsze bezpiecznej pracy!

FAQ: STO, SS1 czy SS2

analiza ryzyka automatyka przemysłowa automatyzacja procesów produkcyjnych automatyzacja produkcji bezpieczeństwo maszyn dokumentacja techniczna dyrektywa ATEX dyrektywa EMC dyrektywa maszynowa 2006/42/WE Instrukcja obsługi integrator automatyki przemysłowej KPI maszyna nieukończona normy zharmonizowane OEE oznakowanie CE Performence level projektowanie maszyn rozporządzenie w sprawie maszyn 2023/1230 Znak CE