E-STOP-ahelate projekteerimine vastavalt standardile ISO 13850 – millal käsitsi lähtestus ja millal automaatne?

Seda, kas pärast avariiseiskamise rakendumist kasutada käsitsi- või automaatset lähtestamist, on kõige parem otsustada juba kontseptsiooni etapis. Hiljem ei ole see otsus enam väike seadistus programmis, vaid hakkab korraga mõjutama juhtimisarhitektuuri, ajamite ja meediumide käitumist, vastuvõtukatseid, kasutusjuhendit ning häirete käsitlemise viisi. Praktikas ei ole seega küsimus ainult lähtestuse liigi valikus, vaid selles, millise oleku masin saavutab pärast E-STOP-i vabastamist ja kas see olek on ohutu ilma inimese täiendava teadliku tegevuseta.

Lähtestus ei ole detail

Küsimus lähtestamisest pärast E-STOP-i kerkib väga sageli üles liiga hilja. Kui masina loogika on juba paigas, protsessijärjestused on kirjutatud ja juhtsüsteemis on eeldused ajamite olekute ning signaalide kohta pärast ohutusfunktsiooni kadumist juba vastu võetud, siis lähtestusviisi muutmine ei ole enam pelgalt parandus. See hakkab mõjutama kontrolleri programmi, ohutusfunktsioone tööstusautomaatikas, funktsionaalseid katseid, dokumentatsiooni ja vastuvõtutingimusi. Seetõttu ei tohiks avariiseiskamise rakendumise järel tegutsemise viis tuleneda projekteerija harjumustest ega survest seisakut lühendada.

See on arhitektuurne otsus. See tuleb siduda vastustega kahele küsimusele: millise oleku peab masin saavutama pärast avariiseiskamisseadme vabastamist ning kas see olek on üksnes ohutu olek või juba liikumisvalmiduse olek. Just siin tehakse kõige sagedamini viga. See ei seisne mitte käsitsi- või automaatse lähtestuse valikus iseenesest, vaid selles, et meeskond ei analüüsi, kas pärast E-STOP-i vabastamist võib masin minna olekusse, mida operaator ei oota.

Kui nupu vabastamine ei põhjusta mitte ainult seiskamisfunktsiooni tühistamist, vaid taastab ka ajamite valmisoleku, pneumaatika toite või viib protsessiloogika tagasi sammu juurde, kust liikumine võib jätkuda üheainsa käivitussignaali järel, siis ei tohi seda hinnata ainult mugavuse vaatenurgast. Tuleb analüüsida kavandatud taaskäivitust, ootamatu käivitumise vältimist ja käsitsemise ergonoomikat: kes teeb lähtestuse, millisest kohast ning kas ta näeb sellest asendist tegelikult ohuala.

Tähtis on kogu süsteemi käitumine pärast sekkumist, mitte ainult E-STOP-nupp ise. Tuleb teada, kas ajamid jäävad väljalülitatuks, kas servoaamid naasevad pärast vabastamist valmisoleku olekusse, kas pneumaatikasüsteem saab pärast õhu väljalaskmist uuesti toite, kas kontrolleri signaale hoitakse alal ning millises järjekorras toimuvad kinnitused ja vabastused. Erinevalt tuleb hinnata masinat, mis pärast avariiseiskamise vabastamist jääb liikumatuks ja nõuab eraldi teadlikku käivituskäsku, ning masinat, mis naaseb protsessi vahe-etappi ja taastab peaaegu automaatselt liikumise eeldused.

Siin ilmneb kõige olulisem projekteerimiskriteerium: esmalt ei tule küsida, mida on formaalselt lubatud kasutada, vaid milline masina olek pärast E-STOP-i vabastamist tegelikult tekib ja kas see olek on ohutu ilma inimese täiendava tegevuseta. Normatiivne raamistik aitab seda hinnangut korrastada, kuid ei asenda seda. Raskuskese ei ole kasutusmugavusel, vaid selles, et lähtestus ei tekitaks iseenesest ohtlikku olukorda.

Kus risk ja kulu tegelikult kasvavad

Kõige rohkem projekteerimisvigu ei teki seal, kus masin pärast E-STOP-i rakendumist lihtsalt seisab, vaid seal, kus seiskumine toimub vaheolekus. See puudutab eelkõige pakendamisliine, robotiga tööjaamu, survesüsteemidega lahendusi, mitmeteljelisi ajameid ning ahelaid, kus energia on salvestunud pneumaatikasse, hüdraulikasse või mehaanilistesse elementidesse. Sellistes süsteemides ei tähenda seiskumise põhjuse kõrvaldamine veel seda, et töö juurde saab ohutult tagasi pöörduda.

Toode võib jääda kinni, telg võib peatuda väljaspool ohutut asendit, haarats võib detaili endiselt hoida ning rõhk või pöördemoment võivad mehhanismi jätkuvalt mõjutada. Sellises olukorras ei puuduta valik käsitsi- ja automaatse lähtestuse vahel operaatori mugavust, vaid seda, milline masina olek pärast E-STOP-i vabastamist tegelikult tekib ja kas inimene tõlgendab seda õigesti.

Projekteerimise seisukohast on kõige ohtlikumad vahepealsed lahendused. Vormiliselt ei käivita need tsüklit, kuid tegelikult taastavad masina võime liikumist teha või kutsuvad esile abiliikumise. Automaatne lähtestus ahvatleb seal, kus oluline on kättesaadavus ja kiire naasmine tootmisse, kuid pärast E-STOP-i vabastamist võib kontroller taastada ajamite valmisoleku, aktiveerida väljundid, taastada rõhu või vabastada pidurid. Operaator näeb siis masinat endiselt seiskununa, kuigi energia ja juhtimisloogika seisukohast ei ole see enam passiivne.

Just selline poolautomaatne käitumine põhjustab kõige sagedamini vaidlusi vastuvõtul. Masin ei alusta küll iseseisvalt täistsüklit, kuid taastab energia, surub elemendi kinni, liigub lähteasendisse või käivitab abifunktsiooni. Projekteerimise seisukohast ei ole need kasutajaliidese detailid, vaid otsused piiri kohta lubatava valmisoleku taastamise ja lubamatu töö jätkamise vahel.

Praktikas on probleem tavaliselt kombineeritud iseloomuga, sest see seob ohutuse töökorraldusega. Käsitsi lähtestamine vähendab ootamatu taaskäivitumise riski, kuid halvasti kavandatuna tekitab see kiiresti omaenda kulud. Kui reset-nupp on paigutatud tsooni nähtavusväljast välja, selle kasutamine nõuab lisaliikumist või see ei ole selgelt eristatud E-STOP-i vabastamisest ja käivituskorraldusest, hakkab operaator käsitlema protseduuri takistusena. Siis tekivad möödahiilimised, hoolduse sekkumised, juhendite parandused ja lisakoolitused. Kui kasutaja ei suuda üheselt mõista erinevust seenlüliti vabastamise, ohutusahela lähtestamise ja protsessi taaskäivitamise vahel, ei seisne probleem ainult standardi sõnastuses, vaid kogu kasutusloogika arhitektuuris, sealhulgas HMI teadetes ja masina tsoonijaotuses.

Hea näide on konveieri ja pneumaatilise haaratsiga tööjaam. Pärast E-STOP-i rakendumist jääb konveier seisma, haarats jääb vaheasendisse ja detaili ei asetata maha. Pärast E-STOP-i vabastamist taastab juhtsüsteem pneumaatilise toite, sest süsteemil puudub eraldi loogika ohutuks rõhu mahalaadimiseks. Formaalselt ei ole antud käivituskorraldust, kuid silinder saab energia tagasi ja täitur teeb lühikese ootamatu liikumise üksnes rõhu taastumise tõttu. Sellist juhtumit on katsetel sageli raske korrata, kuid see õõnestab väga kiiresti kasutaja usaldust masina vastu.

Tagajärjed ulatuvad kaugemale pelgast vigastusohust. Tekivad hoolduse sekkumised, pikeneb vastuvõtt, tehakse programmiparandusi, juhenditesse lisatakse erandeid ning vaieldakse selle üle, kas pärast E-STOP-i tuleb rõhk või ajamimoment maha võtta või ainult blokeerida edasised liikumiskäsud. Sarnased probleemid ilmnevad ka automaatsel baasimisel pärast seiskamist ning keskse E-STOP-ahela korral, mis hõlmab erineva nähtavuse ja energia taastumise erinevate tagajärgedega tsoone.

Selles etapis aitab viide PN‑EN ISO 13850 ja hädaseiskamisseadme nõuetele hinnangut korrastada. Ainuüksi asjaolu, et pärast E-STOP-i vabastamist ei käivitu tsükkel täielikult, ei otsusta veel, kas lahendus on vastuvõetav. Tuleb hinnata, kas energia taastumine, ajamite valmisoleku taastamine, haaratsi rakendumine, telgede pidurite vabanemine või liikumine baasasendisse ei tekita ohtlikku või operaatorit eksitavat olukorda. Seetõttu tuleb praktikas vaadata mitte ainult reset-signaali ennast, vaid kogu järjestust.

Kuidas teha projekteerimisotsus

Otsust lähtestamise kohta pärast hädaseiskamise rakendumist tasub alustada masina olekute kirjeldamisest, mitte küsimusest kasutusmugavuse kohta. Tuleb üheselt lahti kirjutada, mis juhtub pärast E-STOP-i vajutamist ja pärast selle vabastamist: millised energiakanalid lülitatakse välja, millised jäävad toite alla, kas ajamite valmisolek taastub, kas telgede pidurid vabanevad, kas silindrid võivad lõpetada liikumise jääkrõhu, gravitatsiooni või elastse energia mõjul ning kas pärast valmisoleku taastamist eksisteerib mis tahes isetoimiv järjestus.

Alles selle põhjal saab vastata, kas seenlüliti vabastamine on ohutuse seisukohalt neutraalne või kujutab see juba endast olekumuutust, mis võib inimest ohustada. Kui E-STOP-i vabastamine taastab energia viisil, mille tagajärgi operaator täielikult ei näe või mis võib muuta täiturite asendit, saab lähtekohaks käsitsi lähtestamine. Kui vabastamine seevastu ei põhjusta liikumist, ei taasta ohtlikku energiat ega käivita ühtegi järjestust, võib kaaluda automaatset naasmist valmisoleku olekusse, kuid ainult siis, kui protsessi edasine käivitamine nõuab eraldi ja üheselt mõistetavat käsku.

Praktikas aitab eristada kolme toimingut, mis liiga sageli ühendatakse üheks signaaliks või üheks operaatoriteateks. Hädaseiskamisseadme vabastamine on mehaaniline toiming ja tähendab üksnes seda, et nupp on naasnud valmisoleku asendisse. Ohutusfunktsiooni lähtestamine on eraldi kinnitus, et ohutustingimusi võib taas pidada täidetuks. Protsessi käivitamine on midagi muud: otsus alustada liikumist või jätkata tsüklit.

Kui need tasandid kattuvad, lakkab kasutaja mõistmast, kas E-STOP-i vabastamine juba midagi käivitab või ainult eemaldab blokeeringu, ning projekteerimismeeskond kaotab võimaluse valitud loogikat vastavushindamise käigus kaitsta. Samal põhjusel on reset-nupu asukoht projekteerimisküsimus, mitte kosmeetiline detail. Lähtestamist tegev inimene peab saama hinnata tsooni, millele ta valmisoleku taastab, või süsteem peab tagama muu usaldusväärse meetodi oleku kinnitamiseks.

Keerukamates liinides võib see tähendada konkreetse tsooni lokaalset lähtestamist, säilitades ülejäänud paigaldise valmisoleku, kuid ainult siis, kui tsoonide piirid, ajamitevahelised sõltuvused ja energia taastamise tagajärjed on selgelt määratletud. Selline otsus peab tulenema funktsioonianalüüsist, mitte soovist kasutamist lihtsustada. See on arhitektuurne projekteerimisotsus.

Hea otsustustest on kirjeldada järjestust, mitte ainult elektriskeemi. Meeskond peab suutma vastata mõnele kontrollküsimusele:

• kas pärast E-STOP-i vabastamist taastub energia või täiturite valmisolek viisil, mis on masina jaoks tajutav,
• kas mis tahes liikumine võib toimuda ilma eraldi käivituskäsuta,
• kas lähtestamist tegev inimene näeb kogu tsooni ning saab välistada inimese kohaloleku ja protsessi vaheoleku.

Kui mõnele neist küsimustest ei saa vastata üheselt, et olukord on ohutu, muutub automaatne taastumine raskesti põhjendatavaks lahenduseks. See kehtib eriti süsteemide puhul, kus detail jääb pärast seiskamist kinnitusse, silinder on peatunud vaheasendis, telge hoitakse pöördemomendiga ning lukustuse kadumine võib põhjustada allavajumise või nihkumise. Sellistel juhtudel ei ole käsitsi lähtestamine pelgalt formaalsus, vaid sunnib enne valmisoleku taastamist olukorda teadlikult kontrollima.

Seal aga, kus süsteem jääb pärast E-STOP-i vabastamist passiivseks ja liikumise käivitamiseks on vaja operaatori eraldi tegevust või ülemise taseme järjestust, võib automaatne taastumine vähendada seisakuid ilma ohutustaset halvendamata. Näiteks töökoht kaitstud tööalaga ja ajamiga, mis pärast E-STOP-i kaotab liikumisvõime, kuid pärast vabastamist taastab juhtimistoite ja valmisoleku oleku, tegemata ühtegi telje ega silindri liigutust. Sama kirje kontrolleris muutub aga küsitavaks ülekandemasinas, kus E-STOP-i vabastamine vabastab telje piduri, taastab rõhu jaotusventiilidele või võimaldab katkestatud järjestuse sammu lõpule viia.

Seetõttu tuleb otsus fikseerida mitte ainult koodis, vaid ka projektdokumentides: skeemides, olekumaatriksis, taaskäivituse järjestuse kirjelduses, HMI teadetes, kinnikiilumiste kõrvaldamise protseduurides ja vastuvõtukatsete stsenaariumides. Kui seda loogikat ei ole võimalik kasutajale selgitada ühe sidusa kirjeldusega — mida teeb E-STOP-i vabastamine, mida teeb lähtestus ja mis käivitab protsessi —, on see tavaliselt märk sellest, et funktsioonide jaotus on vale või liiga keeruline.

Kõigepealt praktika, seejärel normatiivne viide

Praktikas ei määra lähtestamise viisi pärast hädaseiskamise rakendumist mitte funktsiooni nimetus, vaid vastus lihtsale küsimusele: mis täpselt juhtub masinaga pärast seenlüliti vabastamist ja kas see olek on üheselt ohutu. See on projekteerimisotsus, mitte kasutaja eelistus ega mõtteline lühitee, mis on üle võetud eelmisest teostusest.

Meeskond peab suutma kirjeldada kogu sündmuste ahela: seiskamine, energia viimine riskihindamisega nõutud tasemele, seadme vabastamine, funktsiooni lähtestamine, valmisoleku kinnitamine ja alles seejärel taaskäivitus. Kui mõni neist etappidest kattub teisega või sõltub kontrolleri vaikekäitumisest, tekib vastuvõtul vaidluste ja kasutuses vigade oht, mida ei saa hiljem pelgalt juhendiga parandada.

See tuleb hästi esile olemasoleva tootmisraku moderniseerimisel, kus kasutaja ootab pärast väiksemate häirete kõrvaldamist lühemaid seisakuid ja integraator pakub käsitsemise lihtsustamiseks automaatset taastumist pärast E-STOP-i vabastamist. Üldkirjelduse tasandil näib lahendus mõistlik: operaator kõrvaldab seiskamise põhjuse, vabastab seadme ja masin naaseb valmisolekusse ilma täiendava lähtestusnuputa. Probleem ilmneb alles vaheolekus.

Kui pärast töömeediumi taastamist saab silinder rõhu tagasi sellises asendis, et võib ilma operaatori uue tahtliku tegevuseta teha käigu, etteande või haaratsi vabastuse, siis ei ole valmisolekusse naasmine enam neutraalne loogiline olek. Tegelikult muutub see protsessiliikumise osaks, lihtsalt teise nime all peidetuna. Selline juhtum ei nõua tavaliselt mitte programmi kosmeetilist parandust, vaid funktsioonide arhitektuuri juurde naasmist: vabastamise eraldamist lähtestamisest, valmisoleku selget kinnitamist või õhutustamise ja energia uuesti pealelülitamise järjestuse ümberkujundamist.

See näide näitab ka, millised projekteerimistõendid on olulised. Ei piisa deklaratsioonist, et pärast vabastamist midagi ei käivitu, kui vastuvõtukatsetes ei kontrollitud ajamite, ventiilide, pidurite ja järjestuse sammude käitumist täpselt E-STOP-i vabastamise hetkel. Masinate tehnilises dokumentatsioonis peab olema selle stsenaariumi riskianalüüsi kirje, HMI olekute kirjeldus, katse stsenaarium pärast hädaseiskamise vabastamist ning kasutaja selge kinnitus kokkulepitud taaskäivituse loogika kohta. Just nende materjalide põhjal hinnatakse hiljem lahenduse sidusust: masina vastuvõtul, tsooni sisenemise protseduuride või LOTO protseduuride ajakohastamisel, seadistus- ja hooldusrežiimi erandite korral ning intsidendi puhul ka selle selgitamisel, kas operaator võis süsteemi käitumist ette näha.

Alles sellisel taustal tasub viidata standardile ISO 13850. Standard korrastab hädaseiskamise rolli: see peab teenima ohtliku protsessi peatamist või ohu tagajärgede piiramist ning seadme vabastamine ei tohi iseenesest tekitada uut ohtlikku olekut. Projekteerija jaoks on praktiline järeldus lihtne: E-STOP-seadme naasmine vabastatud asendisse ei tohi asendada teadlikku tegevust, mida masina ohutuskontseptsioon nõuab.

Poola ja Euroopa Liidu praktikas ei ole küsimus siiski ainult loogilises vastavuses standardile. Sama oluline on kogu lahenduse kooskõla masinadirektiivile vastava tehnilise dokumentatsiooniga, kasutusjuhendiga, riskihindamise tulemustega ning pärast moderniseerimist ka ohutusfunktsioonide valideerimise ajakohastamise ulatusega. Just neid elemente hakatakse hiljem tarnija ja kasutaja suhtes hindama, mitte üksikut kirjet kontrolleri programmis.

Praktiline järeldus on üheselt selge. Kui projekteerija ei suuda näidata, mis juhtub pärast E-STOP-i vabastamist, millised energiad taastuvad, millised elemendid võivad asendit muuta ja miks see olek on ohutu, siis ei tohi protseduuridesse lisada erandeid stiilis „operaator ei tohi sel ajal ohualas viibida”. Tuleb tagasi minna funktsiooni, järjestuse ja vastutuse jaotuse juurde vabastamise, lähtestamise ning taaskäivitamise vahel. Alles lahendust, mida saab põhjendada skeemil, vastuvõtukatsetel, juhendis ja riskihindamises, saab pidada tehniliselt küpseks.