Projektiranje E-STOP krugova prema normi ISO 13850 – kada ručni reset, a kada automatski?

O tome treba li nakon aktiviranja zaustavljanja u nuždi primijeniti ručni ili automatski reset najbolje je odlučiti već u fazi koncepcije. Kasnije ta odluka više nije samo sitna postavka u programu, nego počinje istodobno utjecati na arhitekturu upravljanja, ponašanje pogona i medija, ispitivanja pri preuzimanju, upute za uporabu te način postupanja pri smetnjama. U praksi se, dakle, ne radi samo o izboru vrste reseta, nego o tome u kakvo stanje stroj dolazi nakon deblokade E-STOP-a i je li to stanje sigurno bez dodatnog, svjesnog djelovanja čovjeka.

Reset nije detalj

Pitanje reseta nakon E-STOP-a vrlo se često postavlja prekasno. Kada su logika stroja već definirana, sekvence procesa napisane, a sustav upravljanja već ima usvojene pretpostavke o stanjima pogona i signala nakon gubitka sigurnosne funkcije, promjena načina reseta prestaje biti tek korekcija. Počinje utjecati na program upravljača, sigurnosne funkcije u industrijskoj automatizaciji, funkcionalna ispitivanja, dokumentaciju i uvjete preuzimanja. Zato način postupanja nakon aktiviranja zaustavljanja u nuždi ne bi smio proizlaziti iz navika projektanta ni iz pritiska da se zastoj skrati.

To je arhitektonska odluka. Treba je povezati s odgovorom na dva pitanja: u kakvo stanje stroj treba doći nakon deblokade uređaja za zaustavljanje u nuždi te je li to stanje isključivo sigurno stanje ili je već stanje spremnosti za kretanje. Upravo se tu najčešće pojavljuje pogreška. Ne sastoji se u samom izboru ručnog ili automatskog reseta, nego u tome što tim ne analizira može li stroj nakon otpuštanja E-STOP-a prijeći u stanje koje operater ne očekuje.

Ako otpuštanje tipkala ne uzrokuje samo poništenje funkcije zaustavljanja, nego i ponovno uspostavljanje spremnosti pogona, vraćanje napajanja pneumatike ili povratak logike procesa na korak iz kojeg se kretanje može pokrenuti jednim signalom starta, to se ne smije procjenjivati isključivo kroz prizmu praktičnosti. Treba analizirati namjeravani ponovni start, sprječavanje neočekivanog pokretanja i ergonomiju rukovanja: tko izvodi reset, s kojeg mjesta i vidi li s tog položaja doista opasnu zonu.

Važno je ponašanje cijelog sustava nakon intervencije, a ne samo tipkalo E-STOP. Treba znati ostaju li pogoni isključeni, vraćaju li se servopogoni nakon otpuštanja u stanje spremnosti, napaja li se pneumatski sustav ponovno nakon odzračivanja, zadržavaju li se signali u upravljaču te kojim redoslijedom slijede potvrde i deblokade. Drukčije se procjenjuje stroj koji nakon otpuštanja zaustavljanja u nuždi ostaje nepomičan i zahtijeva zasebnu, svjesnu naredbu za pokretanje, a drukčije onaj koji se vraća na međukorak procesa i gotovo automatski ponovno uspostavlja uvjete za kretanje.

Tu se pojavljuje najvažniji projektni kriterij: ne pitati najprije što je formalno dopušteno primijeniti, nego kakvo će stanje stroja stvarno nastupiti nakon deblokade E-STOP-a i je li to stanje sigurno bez dodatnog djelovanja čovjeka. Normativno uporište pomaže strukturirati tu procjenu, ali je ne zamjenjuje. Težište nije na praktičnosti rukovanja, nego na tome da reset sam po sebi ne izazove opasnu situaciju.

Gdje rizik i trošak doista rastu

Najviše projektnih pogrešaka ne pojavljuje se ondje gdje stroj nakon aktiviranja E-STOP-a jednostavno stoji, nego ondje gdje do zaustavljanja dolazi u međustanju. To se osobito odnosi na linije za pakiranje i robotske ćelije, sustave pod tlakom, višeosne pogone te krugove s energijom pohranjenom u pneumatici, hidraulici ili mehaničkim elementima. U takvim sustavima uklanjanje uzroka zaustavljanja još ne znači da se radu može sigurno vratiti.

Proizvod može ostati ukliješten, os se može zaustaviti izvan sigurnog položaja, hvataljka može i dalje držati komad, a tlak ili moment i dalje mogu djelovati na mehanizam. U takvoj situaciji izbor između ručnog i automatskog reseta ne odnosi se na praktičnost operatera, nego na to kakvo stanje stroja stvarno nastaje nakon otpuštanja E-STOP-a i hoće li ga čovjek ispravno protumačiti.

Sa stajališta projekta najopasnija su prijelazna rješenja. Formalno ne pokreću ciklus, ali u stvarnosti vraćaju sposobnost stroja za izvođenje kretanja ili izazivaju pomoćno gibanje. Automatski reset privlačan je ondje gdje su važni raspoloživost i brz povratak proizvodnji, no nakon otpuštanja E-STOP-a upravljač može ponovno uspostaviti spremnost pogona, aktivirati izlaze, vratiti tlak ili otpustiti kočnice. Operater tada stroj i dalje vidi kao zaustavljen, iako on sa stajališta energije i logike upravljanja više nije pasivan.

Upravo takva poluautomatska ponašanja najčešće dovode do sporova pri preuzimanju. Stroj se ne pokreće sam u punom ciklusu, ali ponovno dobiva energiju, steže element, dolazi do referentnog položaja ili pokreće pomoćnu funkciju. Sa stajališta projektiranja to nisu detalji sučelja, nego odluke o granici između dopuštenog vraćanja spremnosti i nedopuštenog nastavka rada.

U praksi problem obično ima mješovitu narav jer povezuje sigurnost i organizaciju rada. Ručni reset smanjuje rizik od neočekivanog ponovnog pokretanja, ali ako je loše osmišljen, brzo stvara vlastite troškove. Ako je tipkalo za reset postavljeno izvan vidnog polja zone, zahtijeva dodatni prilaz ili nije jasno odvojeno od deblokade E-STOP-a i naredbe za pokretanje, rukovatelji postupak počinju doživljavati kao prepreku. Tada se pojavljuju zaobilaženja, intervencije održavanja, dorade uputa i dodatne obuke. Ako korisnik ne može jednoznačno razlikovati deblokadu gljive, reset sigurnosnog kruga i ponovno pokretanje procesa, problem nije samo u sadržaju norme, nego u cjelokupnoj arhitekturi rukovanja, uključujući HMI poruke i podjelu stroja na zone.

Dobar primjer je ćelija s transporterom i pneumatskim hvatalom. Nakon aktiviranja E-STOP-a transporter se zaustavlja, hvatalo ostaje u međupoložaju, a komad se ne odlaže. Nakon otpuštanja E-STOP-a upravljanje ponovno uspostavlja pneumatsko napajanje jer ne postoji zasebna logika za sigurno rasterećenje sustava. Formalno nije zadana naredba za pokretanje, ali cilindar ponovno dobiva energiju i izvršni element napravi kratak, neočekivan pokret koji proizlazi isključivo iz povratka tlaka. Takav je slučaj često teško reproducirati tijekom ispitivanja, ali vrlo brzo narušava povjerenje korisnika u stroj.

Posljedice nadilaze sam rizik od ozljede. Javljaju se intervencije održavanja, produljeno preuzimanje, dorade programa, dopisivanje iznimki u upute te rasprave o tome treba li nakon E-STOP-a ispustiti tlak ili pogonski moment, ili samo blokirati daljnje naredbe gibanja. Slični se problemi pojavljuju i kod automatskog referenciranja nakon zaustavljanja te kod središnjeg E-STOP kruga koji obuhvaća zone različite preglednosti i različitih posljedica povrata energije.

U ovoj fazi upućivanje na PN‑EN ISO 13850 i zahtjeve za uređaj za zaustavljanje u nuždi ima važnu ulogu u strukturiranju teme. Sama činjenica da nakon otpuštanja E-STOP-a ne dolazi do potpunog pokretanja ciklusa još ne odlučuje je li rješenje prihvatljivo. Treba procijeniti stvaraju li povrat energije, obnova spremnosti pogona, aktiviranje hvata, otpuštanje kočnice osi ili gibanje prema referentnom položaju opasno stanje ili stanje koje može zbuniti rukovatelja. Zato u praksi ne treba promatrati samo signal reseta, nego cijeli slijed događaja.

Kako donijeti projektnu odluku

Odluku o resetu nakon aktiviranja zaustavljanja u nuždi vrijedi započeti opisom stanja stroja, a ne pitanjem praktičnosti rukovanja. Potrebno je jasno razraditi što se događa nakon pritiska na E-STOP i nakon njegova deblokiranja: koji se energetski vodovi isključuju, koji ostaju pod naponom, vraća li se spremnost pogona, otpuštaju li se kočnice osi, mogu li cilindri dovršiti gibanje pod utjecajem preostalog tlaka, gravitacije ili elastične energije te postoji li nakon ponovne uspostave spremnosti bilo kakav automatski slijed.

Tek se na toj osnovi može odgovoriti je li samo otpuštanje gljive neutralno sa stajališta sigurnosti ili već predstavlja promjenu stanja koja može izložiti čovjeka opasnosti. Ako deblokiranje E-STOP-a vraća energiju na način čije posljedice rukovatelj ne vidi u cijelosti ili koji može promijeniti položaj izvršnih elemenata, polazište postaje ručni reset. Ako, pak, deblokiranje ne uzrokuje gibanje, ne obnavlja opasnu energiju i ne pokreće nikakav slijed, može se razmatrati automatski povratak u stanje spremnosti, ali samo ako daljnje pokretanje procesa zahtijeva zasebnu, jednoznačnu naredbu.

U praksi pomaže razdvajanje triju radnji koje se prečesto miješaju u jednom signalu ili jednoj poruci rukovatelju. Deblokiranje uređaja za zaustavljanje u nuždi mehanička je radnja i znači samo da se tipkalo vratilo u položaj spremnosti. Reset sigurnosne funkcije zasebna je potvrda da se sigurnosni uvjeti ponovno mogu smatrati ispunjenima. Pokretanje procesa nešto je treće: odluka o početku gibanja ili nastavku ciklusa.

Ako se te razine preklapaju, korisnik prestaje razumjeti pokreće li otpuštanje E-STOP-a već nešto ili samo uklanja blokadu, a projektni tim gubi mogućnost obrane usvojene logike tijekom ocjene sukladnosti. Iz istog razloga položaj tipkala za reset ima projektno, a ne kozmetičko značenje. Osoba koja provodi reset trebala bi imati mogućnost procjene zone za koju vraća spremnost ili sustav mora osigurati drugu pouzdanu metodu potvrde stanja.

U složenijim linijama to može značiti lokalni reset za pojedinu zonu uz zadržavanje spremnosti preostalog dijela instalacije, ali samo ako su granice zona, ovisnosti među pogonima i posljedice povrata energije jasno definirane. Takva odluka mora proizlaziti iz analize funkcije, a ne iz želje za pojednostavnjenjem rukovanja.

Dobar test za donošenje odluke jest opis slijeda, a ne samo električne sheme. Tim bi trebao moći odgovoriti na nekoliko kontrolnih pitanja:

• vraća li se nakon otpuštanja E-STOP-a energija ili izvršna spremnost na način koji je za stroj osjetan,
• može li doći do bilo kakvog gibanja bez zasebne naredbe za pokretanje,
• vidi li osoba koja provodi reset cijelu zonu i može li isključiti prisutnost čovjeka te međustanje procesa.

Ako na bilo koje od ovih pitanja odgovor nije nedvosmisleno siguran, automatski povrat postaje rješenje koje je teško opravdati. To se posebno odnosi na sustave u kojima nakon zaustavljanja obradak ostaje u prihvatu, cilindar se zaustavio u međupoložaju, os se drži momentom, a gubitak blokade može uzrokovati spuštanje ili pomicanje. U takvim slučajevima ručni reset nije puka formalnost, nego zahtijeva svjesnu provjeru situacije prije ponovne uspostave spremnosti.

S druge strane, ondje gdje nakon deblokade E-STOP-a sustav ostaje pasivan, a pokretanje gibanja zahtijeva zasebnu radnju operatera ili nadređenu sekvencu, automatski povrat može smanjiti zastoje bez narušavanja razine sigurnosti. Primjer može biti radna stanica sa zaštićenom radnom zonom i pogonom koji nakon E-STOP-a gubi mogućnost gibanja, ali nakon deblokade ponovno dobiva napajanje upravljanja i stanje pripravnosti, bez ikakvog gibanja osi ili cilindra. Međutim, isti zapis u upravljaču postaje upitan u transfernom stroju, gdje otpuštanje E-STOP-a otkočuje os, vraća tlak na razvodnike ili omogućuje dovršetak prekinutog koraka sekvence.

Zato odluku treba obuhvatiti ne samo u kodu, nego i u projektnoj dokumentaciji: u shemama, matrici stanja, opisu sekvence ponovnog pokretanja, HMI porukama, postupcima uklanjanja zastoja i scenarijima prijemnih ispitivanja. Ako se ta logika korisniku ne može objasniti jednim dosljednim opisom — što radi otpuštanje E-STOP-a, što radi reset, a što pokreće proces — to je obično znak da je podjela funkcija pogrešna ili previše složena.

Najprije praksa, zatim normativno uporište

U praksi o načinu reseta nakon aktiviranja zaustavljanja u nuždi ne odlučuje naziv funkcije, nego odgovor na jednostavno pitanje: što će se točno dogoditi sa strojem nakon otpuštanja gljive i je li to stanje nedvosmisleno sigurno. To je projektna odluka, a ne korisnička preferencija niti prečac preuzet iz prethodne izvedbe.

Tim mora znati opisati cijeli lanac događaja: zaustavljanje, gašenje energije do razine koju zahtijeva procjena rizika, deblokadu uređaja, reset funkcije, potvrdu spremnosti i tek potom ponovno pokretanje. Ako se bilo koja od tih faza preklapa s drugom ili ovisi o zadanom ponašanju upravljača, otvara se prostor za sporove pri preuzimanju i za pogreške u radu koje se kasnije ne mogu ispraviti samim uputama.

To se jasno vidi pri modernizaciji postojeće ćelije, u kojoj korisnik očekuje kraće zastoje nakon uklanjanja manjih smetnji, a integrator predlaže automatski povrat nakon otpuštanja E-STOP-a kako bi pojednostavio rukovanje. Na razini općeg opisa rješenje izgleda razumno: operater uklanja uzrok zaustavljanja, deblokira uređaj i stroj se vraća u stanje pripravnosti bez dodatne tipke za reset. Problem se otkriva tek u međustanju.

Ako nakon ponovne uspostave radnog medija cilindar ponovno dobije tlak u takvom položaju da može izvesti hod, dosjedanje ili rasterećenje hvataljke bez nove namjere operatera, tada povrat u stanje pripravnosti prestaje biti neutralno logičko stanje. U stvarnosti postaje dijelom gibanja procesa, samo skrivenim pod drugim nazivom. Takav slučaj obično ne traži kozmetičku doradu programa, nego povratak arhitekturi funkcija: razdvajanje deblokade od reseta, izričitu potvrdu spremnosti ili preinaku sekvence odzračivanja i ponovne uspostave energije.

Na ovom se primjeru vidi i koji su projektni dokazi važni. Nije dovoljna izjava da se nakon otpuštanja ništa ne pokreće ako se u prijemnim ispitivanjima nije provjerilo ponašanje pogona, ventila, kočnica i koraka sekvence točno u trenutku deblokade E-STOP-a. U tehničkoj dokumentaciji strojeva mora postojati zapis procjene rizika za taj scenarij, opis stanja na HMI-ju, scenarij ispitivanja nakon otpuštanja zaustavljanja u nuždi te jasna potvrda dogovorene logike ponovnog pokretanja od strane korisnika. Upravo se u tim materijalima kasnije procjenjuje dosljednost rješenja: pri preuzimanju stroja, pri ažuriranju postupaka ulaska u zonu ili LOTO postupaka, pri iznimkama za režim podešavanja i servisni režim, a u slučaju incidenta i pri razjašnjavanju je li operater mogao predvidjeti ponašanje sustava.

Tek na takvoj osnovi ima smisla pozvati se na ISO 13850. Norma uređuje ulogu zaustavljanja u nuždi: ono mora služiti zaustavljanju opasnog procesa ili ograničavanju posljedica opasnosti, a deblokada uređaja sama po sebi ne smije stvoriti novo opasno stanje. Za projektanta je praktičan zaključak jednostavan: sam povrat uređaja E-STOP u deblokirani položaj ne može zamijeniti svjesnu radnju koju zahtijeva sigurnosni koncept stroja.

U poljskim i europskim okolnostima pritom nije riječ samo o logičkoj usklađenosti s normom. Jednako je važna usklađenost cijelog rješenja s tehničkom dokumentacijom usklađenom s Direktivom o strojevima, uputama za uporabu, rezultatima procjene rizika te, nakon modernizacije, s opsegom ažuriranja validacije sigurnosnih funkcija. Upravo će se ti elementi kasnije provjeravati u odnosu dobavljač–korisnik, a ne pojedinačni zapis u programu upravljača.

Praktičan zaključak je nedvosmislen. Ako projektant ne može pokazati što se događa nakon otpuštanja E-STOP-a, koje se energije vraćaju, koji elementi mogu promijeniti položaj i zašto je to stanje sigurno, ne treba dopisivati proceduralne iznimke poput „operater tada ne bi smio stajati u zoni”. Potrebno je vratiti se funkciji, sekvenci i podjeli odgovornosti između deblokade, reseta i ponovnog pokretanja. Tek rješenje koje se može opravdati na shemi, u prihvatnim ispitivanjima, u uputama i u procjeni rizika može se smatrati tehnički zrelim.