Σχεδιασμός κυκλωμάτων E-STOP σύμφωνα με το ISO 13850 – πότε απαιτείται χειροκίνητη επαναφορά και πότε αυτόματη;

Το αν, μετά την ενεργοποίηση της στάσης έκτακτης ανάγκης, θα εφαρμοστεί χειροκίνητη ή αυτόματη επαναφορά, είναι προτιμότερο να αποφασίζεται ήδη στο στάδιο της σύλληψης του έργου. Αργότερα, αυτή η απόφαση παύει να είναι μια απλή ρύθμιση στο πρόγραμμα και αρχίζει να επηρεάζει ταυτόχρονα την αρχιτεκτονική του ελέγχου, τη συμπεριφορά των κινήσεων και των μέσων, τις δοκιμές παραλαβής, τις οδηγίες χρήσης και τον τρόπο διαχείρισης των διαταραχών. Στην πράξη, λοιπόν, δεν πρόκειται μόνο για την επιλογή του τύπου επαναφοράς, αλλά για το ποια κατάσταση θα φτάσει η μηχανή μετά την απελευθέρωση του E-STOP και αν αυτή η κατάσταση είναι ασφαλής χωρίς πρόσθετη, συνειδητή ενέργεια από άνθρωπο.

Η επαναφορά δεν είναι λεπτομέρεια

Το ερώτημα της επαναφοράς μετά από E-STOP τίθεται πολύ συχνά πολύ αργά. Όταν η λογική της μηχανής έχει ήδη κλείσει, οι ακολουθίες της διεργασίας έχουν ήδη γραφτεί και το σύστημα ελέγχου έχει ήδη υιοθετήσει παραδοχές για τις καταστάσεις των κινήσεων και των σημάτων μετά την απώλεια της λειτουργίας ασφάλειας, η αλλαγή του τρόπου επαναφοράς παύει να είναι μια απλή διόρθωση. Αρχίζει να επηρεάζει το πρόγραμμα του ελεγκτή, τις λειτουργίες ασφάλειας στη βιομηχανική αυτοματοποίηση, τις λειτουργικές δοκιμές, την τεκμηρίωση και τους όρους παραλαβής. Γι’ αυτό, ο τρόπος αντιμετώπισης μετά την ενεργοποίηση της στάσης έκτακτης ανάγκης δεν θα πρέπει να προκύπτει ούτε από τη συνήθεια του μελετητή ούτε από την πίεση για μείωση του χρόνου διακοπής.

Πρόκειται για αρχιτεκτονική απόφαση. Πρέπει να συνδεθεί με την απάντηση σε δύο ερωτήματα: ποια κατάσταση πρέπει να επιτύχει η μηχανή μετά την απελευθέρωση της διάταξης στάσης έκτακτης ανάγκης και αν αυτή η κατάσταση είναι αποκλειστικά ασφαλής ή αν αποτελεί ήδη κατάσταση ετοιμότητας για κίνηση. Ακριβώς εδώ εμφανίζεται συχνότερα το σφάλμα. Δεν έγκειται στην ίδια την επιλογή χειροκίνητης ή αυτόματης επαναφοράς, αλλά στο ότι η ομάδα δεν αναλύει αν, μετά την απελευθέρωση του E-STOP, η μηχανή μπορεί να περάσει σε κατάσταση που ο χειριστής δεν αναμένει.

Αν η απελευθέρωση του κομβίου δεν προκαλεί μόνο την ακύρωση της λειτουργίας στάσης, αλλά και την αποκατάσταση της ετοιμότητας των κινήσεων, την επαναφορά της τροφοδοσίας των πνευματικών ή την επιστροφή της λογικής της διεργασίας στο βήμα από το οποίο η κίνηση μπορεί να ξεκινήσει με ένα μόνο σήμα εκκίνησης, αυτό δεν επιτρέπεται να αξιολογείται αποκλειστικά με κριτήριο την ευκολία. Πρέπει να αναλυθούν η προβλεπόμενη επανεκκίνηση, η αποτροπή της απροσδόκητης εκκίνησης και η εργονομία χειρισμού: ποιος εκτελεί την επαναφορά, από ποιο σημείο και αν από αυτή τη θέση έχει πράγματι οπτική επαφή με την επικίνδυνη ζώνη.

Σημασία έχει η συμπεριφορά ολόκληρου του συστήματος μετά την επέμβαση και όχι μόνο το ίδιο το κομβίο E-STOP. Πρέπει να είναι σαφές αν οι κινήσεις παραμένουν απομονωμένες, αν οι σερβοκινητήρες επιστρέφουν σε κατάσταση ετοιμότητας μετά την απελευθέρωση, αν το πνευματικό σύστημα επανατροφοδοτείται μετά την εκτόνωση, αν τα σήματα στον ελεγκτή διατηρούνται και με ποια σειρά γίνονται οι επιβεβαιώσεις και οι αποδεσμεύσεις. Διαφορετικά αξιολογείται μια μηχανή που, μετά την απελευθέρωση της στάσης έκτακτης ανάγκης, παραμένει ακίνητη και απαιτεί ξεχωριστή, συνειδητή εντολή εκκίνησης, και διαφορετικά μια μηχανή που επιστρέφει σε ενδιάμεσο βήμα της διεργασίας και σχεδόν αυτόματα αποκαθιστά τις συνθήκες για κίνηση.

Εδώ προκύπτει το σημαντικότερο κριτήριο σχεδιασμού: να μη ρωτάμε πρώτα τι επιτρέπεται τυπικά να εφαρμοστεί, αλλά ποια κατάσταση της μηχανής θα προκύψει πραγματικά μετά την απελευθέρωση του E-STOP και αν αυτή η κατάσταση είναι ασφαλής χωρίς πρόσθετη ενέργεια από άνθρωπο. Η κανονιστική αναφορά οργανώνει αυτή την αξιολόγηση, αλλά δεν την υποκαθιστά. Το βάρος δεν βρίσκεται στην ευκολία χειρισμού, αλλά στο να μην προκαλεί η επαναφορά από μόνη της επικίνδυνη κατάσταση.

Πού αυξάνονται πραγματικά ο κίνδυνος και το κόστος

Τα περισσότερα σφάλματα σχεδιασμού δεν εμφανίζονται εκεί όπου η μηχανή, μετά την ενεργοποίηση του E-STOP, απλώς ακινητοποιείται, αλλά εκεί όπου η στάση συμβαίνει σε ενδιάμεση κατάσταση. Αυτό αφορά ιδιαίτερα γραμμές συσκευασίας, κυψέλες με ρομπότ, συστήματα με σύσφιξη, πολυαξονικές κινήσεις και κυκλώματα με αποθηκευμένη ενέργεια σε πνευματικά, υδραυλικά ή μηχανικά στοιχεία. Σε τέτοια συστήματα, η άρση της αιτίας της στάσης δεν σημαίνει ακόμη ότι μπορεί να υπάρξει ασφαλής επιστροφή στη λειτουργία.

Το προϊόν μπορεί να παραμείνει σφηνωμένο, ένας άξονας μπορεί να έχει σταματήσει εκτός ασφαλούς θέσης, η αρπάγη μπορεί να εξακολουθεί να συγκρατεί το τεμάχιο και η πίεση ή η ροπή μπορεί να συνεχίζουν να επιδρούν στον μηχανισμό. Σε μια τέτοια περίπτωση, η επιλογή μεταξύ χειροκίνητης και αυτόματης επαναφοράς δεν αφορά την άνεση του χειριστή, αλλά το ποια κατάσταση της μηχανής δημιουργείται πραγματικά μετά την απελευθέρωση του E-STOP και αν ο άνθρωπος την αντιλαμβάνεται σωστά.

Από πλευράς σχεδιασμού, οι πιο επικίνδυνες είναι οι ενδιάμεσες λύσεις. Τυπικά δεν εκκινούν τον κύκλο, αλλά στην πράξη αποκαθιστούν την ικανότητα της μηχανής να εκτελέσει κίνηση ή προκαλούν βοηθητική κίνηση. Η αυτόματη επαναφορά είναι δελεαστική εκεί όπου μετρά η διαθεσιμότητα και η γρήγορη επιστροφή στην παραγωγή, όμως μετά την απελευθέρωση του E-STOP ο ελεγκτής μπορεί να αποκαταστήσει την ετοιμότητα των κινήσεων, να οπλίσει τις εξόδους, να επαναφέρει την πίεση ή να αποδεσμεύσει τα φρένα. Τότε ο χειριστής βλέπει τη μηχανή ως ακόμη σταματημένη, παρότι από την άποψη της ενέργειας και της λογικής ελέγχου δεν είναι πλέον παθητική.

Ακριβώς τέτοιες ημιαυτόματες συμπεριφορές οδηγούν συχνότερα σε διαφωνίες κατά την παραλαβή. Η μηχανή δεν ξεκινά μόνη της πλήρη κύκλο, αλλά ανακτά ενέργεια, συσφίγγει στοιχείο, μετακινείται μέχρι τη θέση αναφοράς ή ενεργοποιεί βοηθητική λειτουργία. Από σχεδιαστική άποψη, αυτά δεν είναι λεπτομέρειες διεπαφής, αλλά αποφάσεις για το όριο μεταξύ επιτρεπτής αποκατάστασης ετοιμότητας και μη επιτρεπτής επανέναρξης λειτουργίας.

Στην πράξη, το πρόβλημα έχει συνήθως μικτό χαρακτήρα, γιατί συνδέει την ασφάλεια με την οργάνωση της εργασίας. Η χειροκίνητη επαναφορά μειώνει τον κίνδυνο απρόσμενης επανεκκίνησης, αλλά όταν είναι κακοσχεδιασμένη δημιουργεί γρήγορα δικό της κόστος. Αν το κουμπί reset έχει τοποθετηθεί εκτός οπτικού πεδίου της ζώνης, απαιτεί επιπλέον μετακίνηση ή δεν διαχωρίζεται καθαρά από την αποδέσμευση του E-STOP και από την εντολή εκκίνησης, ο χειριστής αρχίζει να αντιμετωπίζει τη διαδικασία ως εμπόδιο. Τότε εμφανίζονται παρακάμψεις, παρεμβάσεις συντήρησης, διορθώσεις στις οδηγίες και πρόσθετες εκπαιδεύσεις. Αν ο χρήστης δεν μπορεί να αντιληφθεί με σαφήνεια τη διαφορά ανάμεσα στην αποδέσμευση του μανιταροειδούς διακόπτη, την επαναφορά του κυκλώματος ασφαλείας και την επανεκκίνηση της διαδικασίας, το πρόβλημα δεν βρίσκεται μόνο στο περιεχόμενο του προτύπου, αλλά σε ολόκληρη την αρχιτεκτονική χειρισμού, μαζί με τα μηνύματα του HMI και τον διαχωρισμό της μηχανής σε ζώνες.

Ένα καλό παράδειγμα είναι ένα κελί με μεταφορέα και πνευματική αρπάγη. Μετά την ενεργοποίηση του E-STOP, ο μεταφορέας σταματά, η αρπάγη παραμένει σε ενδιάμεση θέση και το τεμάχιο δεν αποτίθεται. Μετά την αποδέσμευση του E-STOP, το σύστημα ελέγχου επαναφέρει την πνευματική τροφοδοσία, επειδή δεν υπάρχει ξεχωριστή λογική ασφαλούς εκτόνωσης του συστήματος. Τυπικά δεν έχει δοθεί εντολή εκκίνησης, αλλά ο κύλινδρος ανακτά ενέργεια και το εκτελεστικό στοιχείο πραγματοποιεί μια σύντομη, απρόσμενη κίνηση που οφείλεται αποκλειστικά στην επαναφορά της πίεσης. Μια τέτοια περίπτωση συχνά είναι δύσκολο να αναπαραχθεί στις δοκιμές, αλλά πολύ γρήγορα υπονομεύει την εμπιστοσύνη του χρήστη προς τη μηχανή.

Οι συνέπειες υπερβαίνουν τον ίδιο τον κίνδυνο τραυματισμού. Εμφανίζονται παρεμβάσεις συντήρησης, παρατεταμένη παραλαβή, διορθώσεις στο πρόγραμμα, προσθήκη εξαιρέσεων στις οδηγίες και διαφωνίες για το αν μετά το E-STOP πρέπει να εκτονώνεται η πίεση ή η ροπή κίνησης ή αν αρκεί μόνο να μπλοκάρονται οι επόμενες εντολές κίνησης. Παρόμοια προβλήματα εμφανίζονται στην αυτόματη αναφορά σε μηδενική θέση μετά από στάση, καθώς και σε κεντρικό κύκλωμα E-STOP που καλύπτει ζώνες με διαφορετική ορατότητα και διαφορετικές συνέπειες από την επαναφορά της ενέργειας.

Σε αυτό το στάδιο, η αναφορά στο PN‑EN ISO 13850 και στις απαιτήσεις για τον διακόπτη έκτακτης ανάγκης βοηθά να μπει τάξη στο θέμα. Το γεγονός και μόνο ότι μετά την αποδέσμευση του E-STOP δεν ξεκινά πλήρως ο κύκλος δεν αρκεί ακόμη για να κριθεί αν η λύση είναι αποδεκτή. Πρέπει να αξιολογηθεί αν η επαναφορά της ενέργειας, η αποκατάσταση της ετοιμότητας των κινήσεων, η ενεργοποίηση της σύλληψης, η απελευθέρωση των αξόνων ή η κίνηση προς τη θέση αναφοράς δημιουργούν επικίνδυνη κατάσταση ή κατάσταση που μπορεί να παραπλανήσει τον χειριστή. Γι’ αυτό στην πράξη δεν πρέπει να εξετάζεται μόνο το ίδιο το σήμα reset, αλλά ολόκληρη η ακολουθία.

Πώς να ληφθεί η σχεδιαστική απόφαση

Η απόφαση για το reset μετά την ενεργοποίηση της στάσης έκτακτης ανάγκης καλό είναι να ξεκινά από την περιγραφή των καταστάσεων της μηχανής και όχι από το ερώτημα της ευκολίας χειρισμού. Πρέπει να αποτυπωθεί με σαφήνεια τι συμβαίνει μετά το πάτημα του E-STOP και μετά την αποδέσμευσή του: ποια κανάλια ενέργειας αποσυνδέονται, ποια παραμένουν υπό τάση, αν επανέρχεται η ετοιμότητα των κινήσεων, αν απελευθερώνονται οι άξονες, αν οι κύλινδροι μπορούν να ολοκληρώσουν την κίνησή τους λόγω υπολειπόμενης πίεσης, βαρύτητας ή ελαστικής ενέργειας και αν, μετά την αποκατάσταση της ετοιμότητας, υπάρχει οποιαδήποτε αυτόματη ακολουθία.

Μόνο πάνω σε αυτή τη βάση μπορεί να απαντηθεί αν η απλή αποδέσμευση του μανιταροειδούς διακόπτη είναι ουδέτερη από πλευράς ασφάλειας ή αν ήδη συνιστά μεταβολή κατάστασης που μπορεί να εκθέσει άνθρωπο σε κίνδυνο. Αν η αποδέσμευση του E-STOP επαναφέρει ενέργεια με τρόπο του οποίου τις συνέπειες ο χειριστής δεν βλέπει πλήρως ή που μπορεί να αλλάξει τη θέση των εκτελεστικών στοιχείων, τότε αφετηρία γίνεται το χειροκίνητο reset. Αντίθετα, αν η αποδέσμευση δεν προκαλεί κίνηση, δεν αποκαθιστά επικίνδυνη ενέργεια και δεν εκκινεί καμία ακολουθία, μπορεί να εξεταστεί η αυτόματη επιστροφή σε κατάσταση ετοιμότητας, αλλά μόνο όταν η περαιτέρω εκκίνηση της διαδικασίας απαιτεί ξεχωριστή και σαφή εντολή.

Στην πράξη βοηθά ο διαχωρισμός τριών ενεργειών, οι οποίες πολύ συχνά συγχέονται σε ένα μόνο σήμα ή σε ένα μόνο μήνυμα προς τον χειριστή. Η αποδέσμευση της διάταξης στάσης έκτακτης ανάγκης είναι μηχανική ενέργεια και σημαίνει μόνο ότι το κουμπί επέστρεψε στη θέση ετοιμότητας. Η επαναφορά της λειτουργίας ασφαλείας είναι ξεχωριστή επιβεβαίωση ότι οι συνθήκες ασφάλειας μπορούν να θεωρηθούν και πάλι ικανοποιημένες. Η εκκίνηση της διαδικασίας είναι κάτι διαφορετικό: η απόφαση για έναρξη κίνησης ή για συνέχιση του κύκλου.

Αν αυτά τα επίπεδα αλληλεπικαλύπτονται, ο χρήστης παύει να καταλαβαίνει αν η αποδέσμευση του E-STOP θέτει ήδη κάτι σε λειτουργία ή αν απλώς αίρει μια εμπλοκή, ενώ η ομάδα σχεδιασμού χάνει τη δυνατότητα να υποστηρίξει την επιλεγμένη λογική κατά την αξιολόγηση συμμόρφωσης της μηχανής. Για τον ίδιο λόγο, η θέση του κουμπιού reset έχει σχεδιαστική σημασία και δεν είναι απλώς θέμα λεπτομέρειας. Το άτομο που εκτελεί το reset πρέπει να μπορεί να αξιολογήσει τη ζώνη για την οποία αποκαθιστά την ετοιμότητα ή το σύστημα πρέπει να παρέχει άλλη αξιόπιστη μέθοδο επιβεβαίωσης της κατάστασης.

Σε πιο σύνθετες γραμμές αυτό μπορεί να σημαίνει τοπικό reset για τη συγκεκριμένη ζώνη, με διατήρηση της ετοιμότητας του υπόλοιπου τμήματος της εγκατάστασης, αλλά μόνο όταν τα όρια των ζωνών, οι εξαρτήσεις μεταξύ των κινήσεων και οι συνέπειες της επαναφοράς της ενέργειας είναι σαφώς καθορισμένα. Μια τέτοια απόφαση πρέπει να προκύπτει από την ανάλυση της λειτουργίας και όχι από την επιθυμία απλοποίησης του χειρισμού.

Ένα καλό κριτήριο λήψης απόφασης είναι η περιγραφή της ακολουθίας και όχι μόνο του ηλεκτρικού σχεδίου. Η ομάδα πρέπει να μπορεί να απαντήσει σε μερικά ερωτήματα ελέγχου:

• αν μετά την αποδέσμευση του E-STOP επανέρχεται ενέργεια ή λειτουργική ετοιμότητα με τρόπο αισθητό για τη μηχανή,
• αν μπορεί να προκύψει οποιαδήποτε κίνηση χωρίς ξεχωριστή εντολή εκκίνησης,
• αν το άτομο που εκτελεί το reset βλέπει ολόκληρη τη ζώνη και μπορεί να αποκλείσει την παρουσία ανθρώπου καθώς και ενδιάμεση κατάσταση της διαδικασίας.

Αν σε οποιοδήποτε από αυτά τα ερωτήματα η απάντηση δεν είναι ξεκάθαρα ασφαλής, η αυτόματη επαναφορά γίνεται λύση που δύσκολα τεκμηριώνεται. Αυτό ισχύει ιδιαίτερα για συστήματα στα οποία, μετά τη διακοπή, το τεμάχιο παραμένει στη σύσφιξη, ο κύλινδρος έχει σταματήσει σε ενδιάμεση θέση, ο άξονας συγκρατείται από ροπή και η απώλεια της συγκράτησης μπορεί να προκαλέσει πτώση ή μετατόπιση. Σε τέτοιες περιπτώσεις, η χειροκίνητη επαναφορά δεν είναι τυπική διαδικασία, αλλά επιβάλλει συνειδητό έλεγχο της κατάστασης πριν αποκατασταθεί η ετοιμότητα.

Αντίθετα, όπου μετά την αποδέσμευση του E-STOP το σύστημα παραμένει αδρανές και η εκκίνηση της κίνησης απαιτεί ξεχωριστή ενέργεια του χειριστή ή ανώτερη ακολουθία ελέγχου, η αυτόματη επαναφορά μπορεί να περιορίζει τους χρόνους διακοπής χωρίς να μειώνει το επίπεδο ασφάλειας. Παράδειγμα αποτελεί ένας σταθμός με προστατευμένη ζώνη εργασίας και κίνηση η οποία, μετά το E-STOP, χάνει τη δυνατότητα κίνησης, αλλά μετά την αποδέσμευση ανακτά την τροφοδοσία ελέγχου και την κατάσταση ετοιμότητας, χωρίς να εκτελεί καμία κίνηση άξονα ή κυλίνδρου. Η ίδια καταχώριση στον ελεγκτή γίνεται όμως αμφισβητήσιμη σε μια μηχανή transfer, όπου η απελευθέρωση του E-STOP αποδεσμεύει το φρένο του άξονα, επαναφέρει πίεση στις βαλβίδες διανομής ή επιτρέπει την ολοκλήρωση ενός διακοπέντος βήματος της ακολουθίας.

Γι’ αυτό η απόφαση πρέπει να αποτυπώνεται όχι μόνο στον κώδικα, αλλά και στα έγγραφα του σχεδιασμού: στα σχέδια, στη μήτρα καταστάσεων, στην περιγραφή της ακολουθίας επανεκκίνησης, στα μηνύματα HMI, στις διαδικασίες αποκατάστασης εμπλοκών και στα σενάρια δοκιμών παραλαβής. Αν αυτή η λογική δεν μπορεί να εξηγηθεί στον χρήστη με μία ενιαία και συνεπή περιγραφή — τι κάνει η αποδέσμευση του E-STOP, τι κάνει το reset και τι εκκινεί τη διεργασία — τότε συνήθως αυτό δείχνει ότι ο διαχωρισμός των λειτουργιών είναι λανθασμένος ή υπερβολικά σύνθετος.

Πρώτα η πράξη, μετά η κανονιστική αναφορά

Στην πράξη, ο τρόπος επαναφοράς μετά την ενεργοποίηση της διακοπής έκτακτης ανάγκης δεν καθορίζεται από την ονομασία της λειτουργίας, αλλά από την απάντηση σε ένα απλό ερώτημα: τι ακριβώς θα συμβεί στη μηχανή μετά την αποδέσμευση του μανιταροδιακόπτη και αν αυτή η κατάσταση είναι ξεκάθαρα ασφαλής. Πρόκειται για σχεδιαστική απόφαση και όχι για προτίμηση του χρήστη ή για συντομευμένη λογική που μεταφέρθηκε από προηγούμενη υλοποίηση.

Η ομάδα πρέπει να μπορεί να περιγράψει ολόκληρη την αλυσίδα των γεγονότων: διακοπή, απενεργοποίηση της ενέργειας στο επίπεδο που απαιτεί η εκτίμηση κινδύνου, αποδέσμευση της διάταξης, επαναφορά της λειτουργίας, επιβεβαίωση ετοιμότητας και μόνο τότε νέα εκκίνηση. Αν οποιοδήποτε από αυτά τα στάδια επικαλύπτεται με κάποιο άλλο ή εξαρτάται από την προεπιλεγμένη συμπεριφορά του ελεγκτή, δημιουργείται πεδίο για διαφωνίες κατά την παραλαβή και για σφάλματα στη λειτουργία, τα οποία δεν μπορούν αργότερα να διορθωθούν μόνο με τις οδηγίες χρήσης.

Αυτό φαίνεται καθαρά στον εκσυγχρονισμό μιας υφιστάμενης κυψέλης, όπου ο χρήστης αναμένει μικρότερους χρόνους διακοπής μετά την αποκατάσταση μικρών διαταραχών και ο integrator προτείνει αυτόματη επαναφορά μετά την αποδέσμευση του E-STOP, ώστε να απλοποιηθεί ο χειρισμός. Σε επίπεδο γενικής περιγραφής, η λύση φαίνεται λογική: ο χειριστής απομακρύνει την αιτία της διακοπής, αποδεσμεύει τη διάταξη και η μηχανή επιστρέφει σε κατάσταση ετοιμότητας χωρίς πρόσθετο πλήκτρο reset. Το πρόβλημα εμφανίζεται μόνο στην ενδιάμεση κατάσταση.

Αν μετά την αποκατάσταση του μέσου λειτουργίας ο κύλινδρος ανακτά πίεση σε τέτοια θέση ώστε να μπορεί να εκτελέσει διαδρομή, προσέγγιση ή αποφόρτιση της αρπάγης χωρίς νέα πρόθεση του χειριστή, τότε η επιστροφή σε κατάσταση ετοιμότητας παύει να είναι ουδέτερη λογική κατάσταση. Στην πραγματικότητα γίνεται τμήμα της κίνησης της διεργασίας, απλώς κρυμμένο κάτω από άλλη ονομασία. Μια τέτοια περίπτωση απαιτεί συνήθως όχι απλή διόρθωση του προγράμματος, αλλά επιστροφή στην αρχιτεκτονική της λειτουργίας: διαχωρισμό της αποδέσμευσης από το reset, ρητή επιβεβαίωση ετοιμότητας ή ανασχεδιασμό της ακολουθίας εκτόνωσης και επαναφοράς της ενέργειας.

Από αυτό το παράδειγμα φαίνεται επίσης ποια τεκμήρια σχεδιασμού έχουν σημασία. Δεν αρκεί η δήλωση ότι μετά την αποδέσμευση δεν ξεκινά τίποτα, αν στις δοκιμές παραλαβής δεν έχει ελεγχθεί η συμπεριφορά των κινήσεων, των βαλβίδων, των φρένων και των βημάτων της ακολουθίας ακριβώς τη στιγμή της αποδέσμευσης του E-STOP. Στην τεχνική τεκμηρίωση μηχανημάτων πρέπει να υπάρχει καταγραφή της ανάλυσης κινδύνου για αυτό το σενάριο, περιγραφή των καταστάσεων στο HMI, σενάριο δοκιμής μετά την αποδέσμευση της διακοπής έκτακτης ανάγκης και σαφής επιβεβαίωση από τον χρήστη της συμφωνημένης λογικής επανεκκίνησης. Ακριβώς σε αυτά τα υλικά αξιολογείται αργότερα η συνοχή της λύσης: κατά την παραλαβή της μηχανής, κατά την επικαιροποίηση των διαδικασιών εισόδου στη ζώνη ή των διαδικασιών LOTO, στις εξαιρέσεις για τη λειτουργία ρύθμισης και συντήρησης, και σε περίπτωση συμβάντος επίσης κατά τη διερεύνηση του αν ο χειριστής μπορούσε να προβλέψει τη συμπεριφορά του συστήματος.

Μόνο σε αυτό το πλαίσιο αξίζει να γίνει αναφορά στο ISO 13850. Το πρότυπο αποσαφηνίζει τον ρόλο της διακοπής έκτακτης ανάγκης: πρέπει να εξυπηρετεί τη διακοπή μιας επικίνδυνης διεργασίας ή τον περιορισμό των συνεπειών ενός κινδύνου, και η αποδέσμευση της διάταξης δεν επιτρέπεται από μόνη της να δημιουργεί νέα επικίνδυνη κατάσταση. Για τον σχεδιαστή, το πρακτικό συμπέρασμα είναι απλό: η ίδια η επιστροφή της διάταξης E-STOP στη θέση αποδέσμευσης δεν μπορεί να υποκαθιστά τη συνειδητή ενέργεια που απαιτεί η αντίληψη ασφάλειας της μηχανής.

Στην ελληνική και ευρωπαϊκή πραγματικότητα, όμως, δεν πρόκειται μόνο για λογική συμμόρφωση με το πρότυπο. Εξίσου σημαντική είναι η συνοχή ολόκληρης της λύσης με την τεχνική τεκμηρίωση σύμφωνα με την Οδηγία Μηχανών, με τις οδηγίες χρήσης, με τα αποτελέσματα της εκτίμησης κινδύνου και, μετά από εκσυγχρονισμό, με το εύρος της επικαιροποίησης της επικύρωσης των λειτουργιών ασφάλειας. Αυτά είναι τα στοιχεία που θα εξεταστούν αργότερα στη σχέση προμηθευτή–χρήστη και όχι μία μεμονωμένη καταχώριση στο πρόγραμμα του ελεγκτή.

Το πρακτικό συμπέρασμα είναι σαφές. Αν ο μελετητής δεν μπορεί να δείξει τι συμβαίνει μετά την αποδέσμευση του E-STOP, ποιες ενέργειες επανέρχονται, ποια στοιχεία μπορεί να αλλάξουν θέση και γιατί αυτή η κατάσταση είναι ασφαλής, δεν πρέπει να προστίθενται διαδικαστικές εξαιρέσεις του τύπου «ο χειριστής δεν πρέπει τότε να βρίσκεται στη ζώνη». Πρέπει να επιστρέψουμε στη λειτουργία, στην ακολουθία και στον επιμερισμό της ευθύνης μεταξύ αποδέσμευσης, reset και επανεκκίνησης. Μόνο μια λύση που μπορεί να τεκμηριωθεί και να υποστηριχθεί σε διάγραμμα, σε δοκιμές αποδοχής, στις οδηγίες και στην εκτίμηση κινδύνου μπορεί να θεωρηθεί τεχνικά ώριμη.