E-STOP-piirien suunnittelu standardin ISO 13850 mukaisesti – milloin manuaalinen kuittaus ja milloin automaattinen?

Se, käytetäänkö hätäpysäytyksen laukeamisen jälkeen käsin tehtävää vai automaattista kuittausta, on parasta ratkaista jo konseptointivaiheessa. Myöhemmin kyse ei enää ole pienestä ohjelma-asetuksesta, vaan päätös alkaa vaikuttaa yhtä aikaa ohjauksen arkkitehtuuriin, käyttöjen ja väliaineiden käyttäytymiseen, vastaanottotesteihin, käyttöohjeeseen sekä häiriötilanteiden käsittelytapaan. Käytännössä kyse ei siis ole pelkästään kuittaustavan valinnasta, vaan siitä, minkä tilan kone saavuttaa E-STOPin vapauttamisen jälkeen ja onko tämä tila turvallinen ilman ihmisen erillistä, tietoista toimenpidettä.

Kuittaus ei ole yksityiskohta

Kysymys E-STOPin jälkeisestä kuittauksesta nousee hyvin usein esiin liian myöhään. Kun koneen logiikka on jo lukittu, prosessisekvenssit kirjoitettu ja ohjausjärjestelmässä on jo määritelty oletukset käyttöjen ja signaalien tiloista turvatoiminnon poistumisen jälkeen, kuittaustavan muuttaminen ei enää ole pelkkä korjaus. Se alkaa vaikuttaa ohjaimen ohjelmaan, teollisuusautomaation turvatoimintoihin, toimintakokeisiin, dokumentaatioon ja vastaanoton ehtoihin. Siksi toimintatapa hätäpysäytyksen laukeamisen jälkeen ei saisi perustua suunnittelijan tottumuksiin eikä paineeseen lyhentää seisokkia.

Tämä on arkkitehtuuritason päätös. Se on sidottava vastaukseen kahteen kysymykseen: minkä tilan koneen tulee saavuttaa hätäpysäytyslaitteen vapauttamisen jälkeen, ja onko kyse yksinomaan turvallisesta tilasta vai jo liikevalmiista tilasta. Juuri tässä tehdään useimmiten virhe. Se ei johdu pelkästään käsin tehtävän tai automaattisen kuittauksen valinnasta, vaan siitä, ettei tiimi analysoi, voiko kone E-STOPin vapauttamisen jälkeen siirtyä tilaan, jota käyttäjä ei odota.

Jos painikkeen vapauttaminen ei ainoastaan poista pysäytystoimintoa vaan myös palauttaa käyttöjen valmiuden, kytkee pneumatiikan syötön takaisin tai palauttaa prosessilogiikan vaiheeseen, josta liike voi käynnistyä yhdellä starttisignaalilla, tätä ei saa arvioida pelkän käyttömukavuuden näkökulmasta. On analysoitava aiottu uudelleenkäynnistys, odottamattoman käynnistymisen estäminen ja käytön ergonomia: kuka tekee kuittauksen, mistä paikasta ja näkeekö hän tästä paikasta todella vaara-alueen.

Merkitystä on koko järjestelmän käyttäytymisellä toimenpiteen jälkeen, ei vain itse E-STOP-painikkeella. On tiedettävä, pysyvätkö käytöt erotettuina, palaavatko servokäytöt vapauttamisen jälkeen valmiustilaan, paineistuuko pneumaattinen järjestelmä uudelleen paineenpoiston jälkeen, säilyvätkö ohjaimen signaalit sekä missä järjestyksessä kuittaukset ja vapautukset tapahtuvat. Arviointi on erilainen koneelle, joka hätäpysäytyksen vapauttamisen jälkeen pysyy paikallaan ja vaatii erillisen, tietoisen käynnistyskäskyn, kuin koneelle, joka palaa prosessin välivaiheeseen ja lähes automaattisesti palauttaa liikkeen edellytykset.

Tässä tulee esiin tärkein suunnittelukriteeri: ei pidä ensin kysyä, mitä muodollisesti saa käyttää, vaan mikä koneen todellinen tila on E-STOPin vapauttamisen jälkeen ja onko tämä tila turvallinen ilman ihmisen lisätoimenpidettä. Normatiivinen viitekehys jäsentää tätä arviointia, mutta ei korvaa sitä. Painopiste ei ole käytön mukavuudessa, vaan siinä, ettei kuittaus itsessään aiheuta vaaratilannetta.

Missä riski ja kustannukset todella kasvavat

Eniten suunnitteluvirheitä ei synny siellä, missä kone yksinkertaisesti pysähtyy E-STOPin laukeamisen jälkeen, vaan siellä, missä pysähdys tapahtuu välitilassa. Tämä koskee erityisesti pakkauslinjoja, robottisoluja, puristusjärjestelmiä, moniakselisia käyttöjä sekä piirejä, joissa energiaa on varastoituneena pneumatiikkaan, hydrauliikkaan tai mekaanisiin osiin. Tällaisissa järjestelmissä pysähdyksen syyn poistaminen ei vielä tarkoita, että työhön voidaan palata turvallisesti.

Tuote voi jäädä puristuksiin, akseli voi pysähtyä turvallisen asennon ulkopuolelle, tarttuja voi edelleen pitää kappaletta, ja paine tai momentti voi edelleen vaikuttaa mekanismiin. Tällaisessa tilanteessa valinta käsin tehtävän ja automaattisen kuittauksen välillä ei koske käyttäjän mukavuutta, vaan sitä, mikä koneen todellinen tila syntyy E-STOPin vapauttamisen jälkeen ja tulkitseeko ihminen sen oikein.

Suunnittelun näkökulmasta vaarallisimpia ovat välimuotoratkaisut. Ne eivät muodollisesti käynnistä sykliä, mutta käytännössä palauttavat koneen kyvyn tehdä liike tai aiheuttavat apuliikkeen. Automaattinen kuittaus houkuttelee siellä, missä käytettävyys ja nopea paluu tuotantoon ovat tärkeitä, mutta E-STOPin vapauttamisen jälkeen ohjain voi palauttaa käyttöjen valmiuden, aktivoida lähdöt, palauttaa paineen tai vapauttaa jarrut. Tällöin käyttäjä näkee koneen edelleen pysähtyneenä, vaikka energian ja ohjauslogiikan näkökulmasta se ei enää ole passiivinen.

Juuri tällaiset puoliautomaattiset toimintatavat johtavat useimmin erimielisyyksiin vastaanotossa. Kone ei käynnisty itsestään täydellä syklillä, mutta se palauttaa energian, puristaa elementin, ajaa perusasentoon tai käynnistää aputoiminnon. Suunnittelun kannalta nämä eivät ole käyttöliittymän yksityiskohtia, vaan päätöksiä sallitun valmiuden palauttamisen ja kielletyn toiminnan jatkumisen välisestä rajasta.

Käytännössä ongelma on yleensä yhdistelmä turvallisuutta ja työn organisointia. Manuaalinen kuittaus pienentää odottamattoman uudelleenkäynnistymisen riskiä, mutta huonosti suunniteltuna se alkaa nopeasti aiheuttaa omia kustannuksiaan. Jos reset-painike on sijoitettu alueen näkyvyyden ulkopuolelle, sen käyttö edellyttää ylimääräistä siirtymistä tai sitä ei ole selkeästi erotettu E-STOPin vapautuksesta ja käynnistyskomennosta, käyttöhenkilöstö alkaa pitää menettelyä esteenä. Tällöin syntyy kiertotapoja, kunnossapidon toimenpiteitä, ohjeiden korjauksia ja lisäkoulutuksia. Jos käyttäjä ei pysty yksiselitteisesti hahmottamaan eroa hätäpysäytyspainikkeen vapauttamisen, turvapiirin resetoinnin ja prosessin uudelleenkäynnistyksen välillä, ongelma ei liity pelkästään standardin sisältöön vaan koko käyttöarkkitehtuuriin, mukaan lukien HMI-viestit ja koneen vyöhykejako.

Hyvä esimerkki on solu, jossa on kuljetin ja pneumaattinen tarttuja. E-STOPin lauetessa kuljetin pysähtyy, tarttuja jää väliasentoon eikä kappaletta lasketa alas. Kun E-STOP vapautetaan, ohjaus palauttaa pneumaattisen syötön, koska järjestelmässä ei ole erillistä logiikkaa turvallista paineenpoistoa varten. Muodollisesti käynnistyskomentoa ei ole annettu, mutta sylinteri saa energian takaisin ja toimilaite tekee lyhyen, odottamattoman liikkeen pelkästään paineen palautumisen seurauksena. Tällainen tapaus on usein vaikea toistaa testien aikana, mutta se heikentää hyvin nopeasti käyttäjän luottamusta koneeseen.

Vaikutukset ulottuvat pidemmälle kuin pelkkään loukkaantumisriskiin. Seurauksena on kunnossapidon toimenpiteitä, pitkittynyt vastaanotto, ohjelmamuutoksia, poikkeusten lisäämistä ohjeisiin sekä kiistoja siitä, pitäisikö E-STOPin jälkeen poistaa paine tai käyttömomentti vai ainoastaan estää uudet liikekäskyt. Samankaltaisia ongelmia esiintyy myös automaattisessa referenssiajoon palautumisessa pysäytyksen jälkeen sekä keskitetyn E-STOP-piirin yhteydessä, kun se kattaa vyöhykkeitä, joilla on erilainen näkyvyys ja erilaiset energian palautumisen vaikutukset.

Tässä vaiheessa viittaus PN‑EN ISO 13850 -standardiin ja hätäpysäytyslaitetta koskeviin vaatimuksiin auttaa jäsentämään asiaa. Pelkkä se, ettei E-STOPin vapauttamisen jälkeen käynnisty koko työjakso, ei vielä ratkaise, onko ratkaisu hyväksyttävä. On arvioitava, aiheuttavatko energian palautuminen, käyttöjen valmiustilan palautuminen, tartunnan aktivoituminen, akselien jarrujen vapautuminen tai liike referenssiasentoon vaarallisen tilanteen tai käyttäjää harhaanjohtavan tilan. Siksi käytännössä ei pidä tarkastella pelkkää reset-signaalia vaan koko sekvenssiä.

Kuinka tehdä suunnittelupäätös

Päätös resetoinnista hätäpysäytyksen lauettua kannattaa aloittaa kuvaamalla koneen tilat, ei pohtimalla käytön mukavuutta. On määriteltävä yksiselitteisesti, mitä tapahtuu E-STOPin painamisen jälkeen ja mitä sen vapauttamisen jälkeen: mitkä energiareitit katkaistaan, mitkä jäävät jännitteellisiksi, palautuuko käyttöjen valmius, vapautuvatko akselien jarrut, voivatko sylinterit viedä liikkeen loppuun jäännöspaineen, painovoiman tai elastisen energian vaikutuksesta sekä esiintyykö valmiuden palauttamisen jälkeen mitään automaattista sekvenssiä.

Vasta tämän perusteella voidaan vastata siihen, onko hätäpysäytyspainikkeen pelkkä vapauttaminen turvallisuuden kannalta neutraali vai merkitseekö se jo tilanmuutosta, joka voi altistaa ihmisen vaaralle. Jos E-STOPin vapauttaminen palauttaa energiaa tavalla, jonka vaikutuksia operaattori ei näe kokonaan tai joka voi muuttaa toimilaitteiden asentoa, lähtökohdaksi tulee manuaalinen resetointi. Jos taas vapauttaminen ei aiheuta liikettä, ei palauta vaarallista energiaa eikä käynnistä mitään sekvenssiä, voidaan harkita automaattista paluuta valmiustilaan, mutta vain silloin, kun prosessin varsinainen käynnistys edellyttää erillistä ja yksiselitteistä komentoa.

Käytännössä auttaa, kun erotetaan toisistaan kolme toimintoa, jotka liian usein yhdistetään samaan signaaliin tai samaan käyttöliittymäviestiin. Hätäpysäytyslaitteen vapauttaminen on mekaaninen toimenpide ja tarkoittaa ainoastaan sitä, että painike on palannut valmiusasentoon. Turvatoiminnon resetointi on erillinen kuittaus siitä, että turvallisuusehtojen voidaan jälleen katsoa täyttyvän. Prosessin käynnistys on vielä eri asia: päätös liikkeen aloittamisesta tai jakson jatkamisesta.

Jos nämä tasot menevät päällekkäin, käyttäjä lakkaa ymmärtämästä, käynnistääkö E-STOPin vapauttaminen jo jotain vai poistaako se vain eston, ja suunnittelutiimi menettää mahdollisuuden perustella valittua logiikkaa vaatimustenmukaisuuden arvioinnissa. Samasta syystä reset-painikkeen sijainnilla on suunnittelullinen, ei kosmeettinen merkitys. Resetoinnin suorittavalla henkilöllä tulee olla mahdollisuus arvioida se vyöhyke, jonka valmius palautetaan, tai järjestelmän on tarjottava jokin muu luotettava tapa tilan vahvistamiseen.

Monimutkaisemmissa linjoissa tämä voi tarkoittaa kyseisen vyöhykkeen paikallista resetointia samalla, kun muun asennuksen valmius säilyy, mutta vain silloin, kun vyöhykerajat, käyttöjen väliset riippuvuudet ja energian palauttamisen vaikutukset on määritelty selkeästi. Tällaisen päätöksen on perustuttava toimintojen analyysiin, ei haluun yksinkertaistaa käyttöä.

Hyvä päätöksenteon testi on sekvenssin kuvaus, ei pelkkä sähkökaavio. Tiimin pitäisi pystyä vastaamaan muutamaan tarkistuskysymykseen:

• palautuuko E-STOPin vapauttamisen jälkeen energia tai toimilaitteiden valmius tavalla, joka on koneen kannalta havaittava,
• voiko mitään liikettä esiintyä ilman erillistä käynnistyskomentoa,
• näkeekö resetoinnin suorittava henkilö koko vyöhykkeen ja voiko hän sulkea pois ihmisen läsnäolon sekä prosessin välitilan.

Jos yhteenkään näistä kysymyksistä ei voida vastata yksiselitteisesti niin, että tilanne on turvallinen, automaattista palautumista on vaikea perustella. Tämä koskee erityisesti järjestelmiä, joissa kappale jää pysäytyksen jälkeen kiinnittimeen, sylinteri pysähtyy väliasentoon, akselia pidetään momentilla ja lukituksen poistuminen voi aiheuttaa putoamisen tai siirtymisen. Tällaisissa tapauksissa manuaalinen kuittaus ei ole pelkkä muodollisuus, vaan se pakottaa tarkistamaan tilanteen tietoisesti ennen valmiustilan palauttamista.

Toisaalta siellä, missä järjestelmä pysyy E-STOPin vapauttamisen jälkeen passiivisena ja liikkeen käynnistäminen edellyttää erillistä käyttäjän toimenpidettä tai ylemmän tason sekvenssiä, automaattinen palautuminen voi vähentää seisokkeja heikentämättä turvallisuustasoa. Esimerkkinä voidaan mainita työasema, jossa työalue on suojattu ja käyttölaite menettää E-STOPin jälkeen liikkumismahdollisuuden, mutta vapauttamisen jälkeen ohjausjännite ja valmiustila palautuvat ilman, että mikään akseli tai sylinteri liikkuu. Sama ohjaimeen tehty kirjaus muuttuu kuitenkin kyseenalaiseksi siirtokoneessa, jossa E-STOPin vapauttaminen poistaa akselin jarrutuksen, palauttaa paineen venttiileille tai sallii keskeytyneen sekvenssivaiheen loppuunsaattamisen.

Siksi päätös on kuvattava paitsi koodissa myös suunnitteludokumenteissa: kaavioissa, tilamatriisissa, uudelleenkäynnistyssekvenssin kuvauksessa, HMI-viesteissä, jumitilanteiden poistomenettelyissä ja vastaanottotestien skenaarioissa. Jos tätä logiikkaa ei pystytä selittämään käyttäjälle yhdellä johdonmukaisella kuvauksella — mitä E-STOPin vapauttaminen tekee, mitä resetointi tekee ja mikä käynnistää prosessin — se on yleensä merkki siitä, että toimintojen jako on virheellinen tai liian monimutkainen.

Ensin käytäntö, sitten normatiivinen viitekehys

Käytännössä hätäpysäytyksen laukeamisen jälkeistä resetointitapaa ei ratkaise toiminnon nimi, vaan vastaus yksinkertaiseen kysymykseen: mitä koneelle täsmälleen tapahtuu, kun painike vapautetaan, ja onko tämä tila yksiselitteisesti turvallinen. Kyse on suunnittelupäätöksestä, ei käyttäjän mieltymyksestä eikä aiemmasta toteutuksesta siirtyneestä ajatusoikaisusta.

Tiimin on pystyttävä kuvaamaan koko tapahtumaketju: pysäytys, energian poistaminen riskinarvioinnin edellyttämälle tasolle, laitteen vapauttaminen, toiminnon resetointi, valmiuden kuittaus ja vasta sen jälkeen uudelleenkäynnistys. Jos jokin näistä vaiheista menee päällekkäin toisen kanssa tai riippuu ohjaimen oletuskäyttäytymisestä, syntyy tulkinnanvaraa vastaanotossa ja käyttövirheiden riski kasvaa tavalla, jota ei voi myöhemmin korjata pelkällä ohjeella.

Tämä näkyy hyvin olemassa olevan tuotantosolun modernisoinnissa, jossa käyttäjä odottaa lyhyempiä seisokkeja pienten häiriöiden poistamisen jälkeen ja integraattori ehdottaa automaattista palautumista E-STOPin vapauttamisen jälkeen käytön yksinkertaistamiseksi. Yleisellä tasolla ratkaisu näyttää järkevältä: käyttäjä poistaa pysäytyksen syyn, vapauttaa laitteen ja kone palaa valmiustilaan ilman erillistä resetointipainiketta. Ongelma paljastuu vasta välitilassa.

Jos työaineen palautuessa sylinteriin palautuu paine sellaisessa asennossa, että se voi tehdä iskun, syötön tai keventää tarttujaa ilman käyttäjän uutta tarkoituksellista toimintaa, valmiustilaan palaaminen ei enää ole neutraali looginen tila. Käytännössä siitä tulee osa prosessin liikettä, vain toisella nimellä. Tällainen tapaus edellyttää yleensä ohjelman hienosäädön sijaan paluuta toimintojen arkkitehtuuriin: vapauttamisen ja resetoinnin erottamista toisistaan, valmiuden nimenomaista kuittausta tai paineenpoisto- ja energianpalautussekvenssin uudelleenrakentamista.

Tästä esimerkistä käy ilmi myös se, millä suunnittelunäytöillä on merkitystä. Ei riitä, että todetaan, ettei vapauttamisen jälkeen mikään käynnisty, jos vastaanottotesteissä ei ole tarkastettu käyttöjen, venttiilien, jarrujen ja sekvenssivaiheiden käyttäytymistä juuri sillä hetkellä, kun E-STOP vapautetaan. Koneiden teknisessä dokumentaatiossa tulisi olla kirjattuna tämän skenaarion riskianalyysi, HMI:n tilakuvaus, testiskenaario hätäpysäytyksen vapauttamisen jälkeen sekä käyttäjän selkeä vahvistus sovitusta uudelleenkäynnistyslogiikasta. Juuri näiden aineistojen perusteella ratkaisun johdonmukaisuutta myöhemmin arvioidaan: koneen vastaanotossa, alueelle menon menettelyjen tai LOTO-menettelyjen päivityksessä, asetus- ja huoltotilan poikkeuksissa sekä mahdollisen poikkeaman selvittämisessä sen osalta, oliko käyttäjän mahdollista ennakoida järjestelmän käyttäytyminen.

Vasta tällaisessa yhteydessä on perusteltua viitata ISO 13850 -standardiin. Standardi jäsentää hätäpysäytyksen roolin: sen tarkoituksena on pysäyttää vaarallinen prosessi tai rajoittaa vaaran seurauksia, eikä laitteen vapauttaminen saa itsessään synnyttää uutta vaaratilannetta. Suunnittelijan kannalta käytännön johtopäätös on yksinkertainen: E-STOP-laitteen palautuminen vapautettuun asentoon ei voi korvata tietoista toimenpidettä, jota koneen turvallisuuskonsepti edellyttää.

Suomen ja EU:n toimintaympäristössä kyse ei kuitenkaan ole pelkästään standardin mukaisesta loogisesta yhdenmukaisuudesta. Yhtä tärkeää on koko ratkaisun johdonmukaisuus konedirektiivin mukaisen teknisen dokumentaation, käyttöohjeen, riskinarvioinnin tulosten sekä modernisoinnin jälkeen turvallisuustoimintojen validoinnin päivityksen laajuuden kanssa. Juuri näitä osa-alueita tarkastellaan myöhemmin toimittajan ja käyttäjän välisessä suhteessa, ei yksittäistä merkintää ohjausohjelmassa.

Käytännön johtopäätös on yksiselitteinen. Jos suunnittelija ei pysty osoittamaan, mitä tapahtuu E-STOPin vapauttamisen jälkeen, mitä energioita palautuu, mitkä osat voivat vaihtaa asentoa ja miksi tämä tila on turvallinen, menettelyyn ei pidä lisätä poikkeuksia tyyliin ”operaattorin ei pitäisi silloin olla vaara-alueella”. On palattava toimintoihin, sekvenssiin ja vastuunjakoon vapauttamisen, resetoinnin ja uudelleenkäynnistyksen välillä. Vasta ratkaisua, joka voidaan perustella kaaviossa, hyväksymistesteissä, ohjeistuksessa ja riskien arvioinnissa, voidaan pitää teknisesti kypsänä.