Az ISO 13850 szerinti vészleállító áramkörök tervezése – mikor kézi, és mikor automatikus visszaállítás szükséges?

Hogy a vészleállítás működésbe lépése után kézi vagy automatikus resetet kell-e alkalmazni, azt a legjobb már a koncepcióalkotás szakaszában eldönteni. Később ez a döntés már nem egyszerű programbeállítás, hanem egyszerre kihat a vezérlés architektúrájára, a hajtások és közegek viselkedésére, az átvételi próbákra, a használati utasításra és a zavarok kezelésének módjára. A gyakorlatban tehát nem pusztán a reset típusának megválasztásáról van szó, hanem arról, hogy az E-STOP kioldása után a gép milyen állapotba kerül, és ez az állapot biztonságos-e további, tudatos emberi beavatkozás nélkül.

A reset nem részletkérdés

Az E-STOP utáni reset kérdése nagyon gyakran túl későn kerül elő. Amikor a gép logikája már lezárt, a folyamat szekvenciái elkészültek, és a vezérlőrendszerben már rögzültek a hajtások és jelek állapotára vonatkozó feltételezések a biztonsági funkció megszűnése után, a reset módjának megváltoztatása már nem egyszerű korrekció. Hatással lesz a vezérlőprogramra, az ipari automatizálás biztonsági funkcióira, a funkcionális próbákra, a dokumentációra és az átvételi feltételekre. Ezért a vészleállítás működésbe lépése utáni eljárás nem alapulhat sem a tervező megszokásain, sem az állásidő lerövidítésére irányuló nyomáson.

Ez architekturális döntés. Két kérdésre adott válaszhoz kell kapcsolni: milyen állapotot kell a gépnek elérnie a vészleállító eszköz kioldása után, illetve ez az állapot kizárólag biztonságos állapot-e, vagy már mozgásra kész állapot. Éppen itt jelenik meg a leggyakoribb hiba. Nem maga a kézi vagy automatikus reset választása a probléma, hanem az, hogy a csapat nem elemzi, a gép az E-STOP feloldása után átkerülhet-e olyan állapotba, amelyre a kezelő nem számít.

Ha a nyomógomb felengedése nemcsak a leállítási funkció megszüntetését eredményezi, hanem a hajtások készenléti állapotának visszaállítását, a pneumatikus tápellátás helyreállítását vagy a folyamatlogika visszatérését ahhoz a lépéshez, ahonnan a mozgás egyetlen startjellel újraindulhat, ezt nem szabad kizárólag a kényelem szempontjából megítélni. Elemezni kell a szándékolatlan újraindítás kockázatát, a váratlan elindulás megelőzését és a kezelés ergonómiáját: ki végzi a resetet, honnan teszi ezt, és abból a pozícióból valóban belátja-e a veszélyzónát.

Nemcsak maga az E-STOP gomb számít, hanem a teljes rendszer viselkedése a beavatkozás után. Tudni kell, hogy a hajtások leválasztva maradnak-e, a szervohajtások felengedés után visszatérnek-e készenléti állapotba, a pneumatikus rendszer a légtelenítés után újra feltöltődik-e, a vezérlőben a jelek megmaradnak-e, valamint milyen sorrendben történnek a visszaigazolások és a feloldások. Másként kell megítélni azt a gépet, amely a vészleállítás feloldása után mozdulatlan marad, és külön, tudatos indítási parancsot igényel, mint azt, amely a folyamat egy köztes lépéséhez tér vissza, és szinte automatikusan helyreállítja a mozgás feltételeit.

Itt jelenik meg a legfontosabb tervezési szempont: nem azt kell először kérdezni, hogy formálisan mi alkalmazható, hanem azt, hogy az E-STOP feloldása után a gép ténylegesen milyen állapotba kerül, és ez az állapot biztonságos-e további emberi beavatkozás nélkül. A normatív hivatkozás rendszerezi ezt az értékelést, de nem helyettesíti. A hangsúly nem a kezelési kényelmen van, hanem azon, hogy a reset önmagában ne idézzen elő veszélyes helyzetet.

Hol nő meg valójában a kockázat és a költség

A legtöbb tervezési hiba nem ott jelentkezik, ahol a gép az E-STOP működésbe lépése után egyszerűen megáll, hanem ott, ahol a leállás köztes állapotban következik be. Ez különösen igaz a csomagoló- és technológiai sorokra, a robotcellákra, a leszorítóval működő rendszerekre, a többtengelyes hajtásokra, valamint azokra az áramkörökre, ahol energia tárolódik a pneumatikában, a hidraulikában vagy mechanikus elemekben. Az ilyen rendszerekben a leállás okának megszüntetése még nem jelenti azt, hogy a működéshez biztonságosan vissza lehet térni.

A termék beszorulva maradhat, egy tengely a biztonságos pozíción kívül állhat meg, a megfogó továbbra is tarthatja a munkadarabot, a nyomás vagy a nyomaték pedig továbbra is hathat a mechanizmusra. Ilyen helyzetben a kézi és az automatikus reset közötti választás nem a kezelő kényelméről szól, hanem arról, hogy az E-STOP felengedése után a gép ténylegesen milyen állapotba kerül, és ezt az ember helyesen értelmezi-e.

Tervezési szempontból a köztes megoldások a legveszélyesebbek. Formálisan nem indítják el a ciklust, ténylegesen azonban visszaadják a gép mozgásképességét, vagy segédmozgást váltanak ki. Az automatikus reset ott csábító, ahol a rendelkezésre állás és a termeléshez való gyors visszatérés számít, ugyanakkor az E-STOP felengedése után a vezérlő visszaállíthatja a hajtások készenlétét, aktiválhatja a kimeneteket, helyreállíthatja a nyomást vagy kioldhatja a fékeket. A kezelő ilyenkor a gépet továbbra is leállítottként érzékeli, noha az energia és a vezérlési logika szempontjából már nem passzív.

Éppen az ilyen félautomatikus viselkedések vezetnek a leggyakrabban vitákhoz az átvétel során. A gép nem indul el magától teljes ciklussal, de visszanyeri az energiát, megszorít egy elemet, alaphelyzetbe fut vagy elindít egy segédfunkciót. Tervezési szempontból ezek nem interfészrészletek, hanem döntések a megengedhető készenlét-visszaállítás és a meg nem engedhető működésfolytatás határáról.

A gyakorlatban a probléma rendszerint összetett, mert a biztonságot a munkaszervezéssel kapcsolja össze. A kézi reset csökkenti a váratlan újraindulás kockázatát, de ha rosszul tervezik meg, gyorsan saját költségeket termel. Ha a resetgombot a zóna beláthatóságán kívül helyezték el, plusz odamenetelt igényel, vagy nincs egyértelműen elkülönítve az E-STOP kioldásától és a startparancstól, a kezelők az eljárást akadályként kezdik kezelni. Ilyenkor kerülőmegoldások jelennek meg, beavatkozásokra van szükség a karbantartás részéről, módosítani kell az utasításokat, és további képzések válnak szükségessé. Ha a felhasználó nem tudja egyértelműen megkülönböztetni a vészleállító gomb kioldását, a biztonsági kör resetjét és a folyamat újraindítását, akkor a probléma nem kizárólag a szabvány szövegében keresendő, hanem a teljes kezelési architektúrában, beleértve a HMI-üzeneteket és a gép zónákra osztását is.

Jó példa erre egy szállítópályával és pneumatikus megfogóval ellátott munkaállomás. Az E-STOP működésbe lépése után a szállítópálya megáll, a megfogó köztes helyzetben marad, a munkadarab pedig nem kerül lerakásra. Az E-STOP kioldása után a vezérlés visszaállítja a pneumatikus tápellátást, mert nincs külön logika a rendszer biztonságos tehermentesítésére. Formálisan nem érkezett startparancs, a munkahenger azonban újra energiát kap, és a végrehajtó elem a nyomás visszatérése miatt rövid, váratlan mozgást végez. Az ilyen eseteket a próbák során gyakran nehéz reprodukálni, a felhasználó gépbe vetett bizalmát viszont nagyon gyorsan rombolják le.

A következmények túlmutatnak magán a sérüléskockázaton. Megjelennek a karbantartási beavatkozások, elhúzódik az átvétel, programkorrekciókra van szükség, kivételeket kell beírni az utasításokba, és viták alakulnak ki arról, hogy E-STOP után le kell-e engedni a nyomást vagy a hajtónyomatékot, vagy elegendő csak a további mozgásparancsokat tiltani. Hasonló problémák jelentkeznek az automatikus referenciára állásnál leállítás után, valamint olyan központi E-STOP kör esetén is, amely eltérő beláthatóságú zónákat és az energia visszatéréséből fakadó különböző következményeket fog össze.

Ebben a szakaszban a PN‑EN ISO 13850 és a vészleállítóval szembeni követelmények hivatkozása rendszerező szerepet tölt be. Az a tény önmagában, hogy az E-STOP kioldása után nem indul el teljesen a ciklus, még nem dönti el, hogy a megoldás elfogadható-e. Azt kell értékelni, hogy az energia visszatérése, a hajtások üzemkész állapotának helyreállása, a megfogás aktiválódása, a tengelyek fékoldása vagy a bázishelyzetbe történő mozgás nem hoz-e létre veszélyes vagy a kezelő számára félreérthető állapotot. Ezért a gyakorlatban nem önmagában a resetjelre kell figyelni, hanem a teljes szekvenciára.

Hogyan hozzunk tervezési döntést

A vészleállítás működésbe lépése utáni resetre vonatkozó döntést érdemes a gép állapotainak leírásával kezdeni, nem pedig a kezelési kényelem kérdésével. Egyértelműen rögzíteni kell, mi történik az E-STOP megnyomása után és annak kioldását követően: mely energiaágak kapcsolódnak le, melyek maradnak feszültség alatt, visszatér-e a hajtások üzemkészsége, oldanak-e a tengelyfékek, a munkahengerek be tudják-e fejezni mozgásukat maradéknyomás, gravitáció vagy rugalmas energia hatására, illetve létezik-e bármilyen önműködő szekvencia a kész állapot helyreállítása után.

Csak ennek alapján lehet megválaszolni, hogy a vészleállító gomb kioldása biztonsági szempontból semleges-e, vagy már önmagában olyan állapotváltozást jelent, amely veszélyeztetheti az embert. Ha az E-STOP kioldása úgy állítja vissza az energiát, hogy annak következményeit a kezelő nem látja teljes egészében, vagy ez megváltoztathatja a végrehajtó elemek helyzetét, akkor a kiindulópont a kézi reset. Ha viszont a kioldás nem idéz elő mozgást, nem állít helyre veszélyes energiát, és nem indít el semmilyen szekvenciát, akkor megfontolható az üzemkész állapot automatikus visszaállítása, de csak akkor, ha a folyamat további indításához külön, egyértelmű parancs szükséges.

A gyakorlatban segít elkülöníteni azt a három műveletet, amelyet túl gyakran egyetlen jelbe vagy egyetlen kezelői üzenetbe sűrítenek. A vészleállító eszköz kioldása mechanikus művelet, és csupán azt jelenti, hogy a nyomógomb visszatért készenléti helyzetébe. A biztonsági funkció resetje ettől különálló megerősítés arra, hogy a biztonsági feltételek ismét teljesültnek tekinthetők. A folyamat indítása pedig megint más: döntés a mozgás megkezdéséről vagy a ciklus folytatásáról.

Ha ezek a szintek összemosódnak, a felhasználó többé nem érti, hogy az E-STOP kioldása már elindít-e valamit, vagy csak megszünteti a tiltást, a tervezőcsapat pedig elveszíti annak lehetőségét, hogy az elfogadott logikát a megfelelőségértékelés során meg tudja védeni. Ugyanezért a resetgomb helye tervezési kérdés, nem pusztán formai részlet. A resetet végző személynek képesnek kell lennie annak a zónának az értékelésére, amelynek üzemkészségét visszaállítja, vagy a rendszernek más megbízható módszert kell biztosítania az állapot megerősítésére.

Összetettebb soroknál ez jelenthet helyi resetet az adott zónára, miközben a berendezés többi része üzemkész marad, de csak akkor, ha a zónahatárok, a hajtások közötti függőségek és az energia visszaállításának következményei egyértelműen meg vannak határozva. Az ilyen döntésnek funkcióelemzésből kell következnie, nem a kezelés egyszerűsítésének szándékából. Ez tervezési és architekturális döntés, nem pusztán kezelői kényelmi kérdés.

Jó döntési próba a szekvencia leírása, nem pedig önmagában a villamos kapcsolási rajz. A csapatnak tudnia kell válaszolni néhány ellenőrző kérdésre:

• az E-STOP kioldása után visszatér-e az energia vagy a végrehajtó oldali üzemkészség a gép számára érzékelhető módon,
• előfordulhat-e bármilyen mozgás külön indítási parancs nélkül,
• a resetet végző személy belátja-e a teljes zónát, és ki tudja-e zárni ember jelenlétét, valamint a folyamat köztes állapotát.

Ha ezek közül bármelyik kérdésre a válasz nem egyértelműen az, hogy biztonságos, akkor az automatikus visszaállás nehezen indokolható megoldássá válik. Ez különösen azokra a rendszerekre igaz, amelyeknél megállás után a munkadarab a befogóban marad, a munkahenger közbenső helyzetben áll meg, a tengelyt nyomaték tartja, és a reteszelés megszűnése süllyedést vagy elmozdulást idézhet elő. Ilyen esetekben a kézi reset nem puszta formalitás, hanem kikényszeríti a helyzet tudatos ellenőrzését, mielőtt a rendszer ismét kész állapotba kerül.

Ezzel szemben ott, ahol az E-STOP feloldása után a rendszer passzív marad, és a mozgás indításához a kezelő külön művelete vagy egy magasabb szintű szekvencia szükséges, az automatikus visszaállás csökkentheti az állásidőt a biztonsági szint romlása nélkül. Ilyen lehet például egy burkolt munkaterű állomás, amelynek hajtása E-STOP után elveszíti a mozgásképességét, de a feloldást követően visszakapja a vezérlési tápellátást és a kész állapotot, anélkül hogy bármely tengely vagy munkahenger elmozdulna. Ugyanez a vezérlőprogramban szereplő beállítás azonban már kétséges egy transzfergépnél, ahol az E-STOP feloldása kioldja a tengelyféket, visszaadja a nyomást az irányváltó szelepekre, vagy lehetővé teszi a megszakított szekvencialépés befejezését.

Ezért a döntést nemcsak a kódban kell rögzíteni, hanem a tervdokumentációban is: a kapcsolási rajzokon, az állapotmátrixban, az újraindítási szekvencia leírásában, a HMI-üzenetekben, az elakadások megszüntetésére szolgáló eljárásokban és az átvételi vizsgálatok forgatókönyveiben. Ha ezt a logikát a felhasználónak nem lehet egyetlen következetes leírással elmagyarázni — mit tesz az E-STOP feloldása, mit tesz a reset, és mi indítja el a folyamatot —, az rendszerint annak a jele, hogy a funkciók felosztása hibás vagy túl bonyolult.

Először a gyakorlat, utána a szabványi hivatkozás

A gyakorlatban az, hogy a vészleállás működése után milyen legyen a reset módja, nem a funkció elnevezésén múlik, hanem egy egyszerű kérdésre adott válaszon: pontosan mi történik a géppel a gomb feloldása után, és ez az állapot egyértelműen biztonságos-e. Ez tervezési döntés, nem a felhasználó preferenciája, és nem is egy korábbi megvalósításból átvett leegyszerűsítő séma.

A csapatnak képesnek kell lennie a teljes eseménylánc leírására: leállítás, az energia megszüntetése a kockázatértékelés által megkövetelt szintig, az eszköz feloldása, a funkció resetelése, a kész állapot megerősítése, és csak ezután az újbóli indítás. Ha e szakaszok közül bármelyik átfedésbe kerül egy másikkal, vagy a vezérlő alapértelmezett viselkedésétől függ, akkor az átvétel során vitás helyzetekhez, az üzemeltetésben pedig olyan hibákhoz vezethet, amelyeket később önmagában az utasítással már nem lehet korrigálni.

Ez jól látható egy meglévő gyártócella korszerűsítésénél, ahol a felhasználó rövidebb leállásokat vár el kisebb zavarok elhárítása után, az integrátor pedig az E-STOP feloldását követő automatikus visszaállást javasolja a kezelés egyszerűsítése érdekében. Általános leírás szintjén a megoldás ésszerűnek tűnik: a kezelő megszünteti a leállás okát, feloldja az eszközt, és a gép külön resetgomb nélkül visszatér kész állapotba. A probléma csak a köztes állapotban mutatkozik meg.

Ha a munkaközeg visszaadása után a munkahenger olyan helyzetben kapja vissza a nyomást, hogy a kezelő újabb szándéka nélkül löketet, ráfutást vagy a megfogó tehermentesítését hajthatja végre, akkor a kész állapotba való visszatérés már nem tekinthető semleges logikai állapotnak. Valójában a folyamatmozgás egy részévé válik, csak más név alatt. Az ilyen eset rendszerint nem a program kisebb módosítását igényli, hanem a funkcióarchitektúrához való visszatérést: a feloldás és a reset szétválasztását, a kész állapot kifejezett megerősítését, vagy a légtelenítési és újbóli energiaellátási szekvencia átalakítását.

Ebből a példából az is jól látszik, milyen tervezési bizonyítékok bírnak jelentőséggel. Nem elég kijelenteni, hogy feloldás után semmi nem indul el, ha az átvételi vizsgálatok során nem ellenőrizték a hajtások, szelepek, fékek és szekvencialépések viselkedését pontosan az E-STOP feloldásának pillanatában. A gépek műszaki dokumentációjában szerepelnie kell az erre a forgatókönyvre vonatkozó kockázatelemzésnek, a HMI-n megjelenő állapotok leírásának, a vészleállás feloldása utáni vizsgálati forgatókönyvnek, valamint a felhasználó által egyeztetetten jóváhagyott újraindítási logika egyértelmű megerősítésének. Éppen ezekben az anyagokban értékelik később a megoldás következetességét: a gép átvételekor, a zónába történő belépési eljárások vagy a LOTO-eljárások frissítésekor, a beállítási és szervizüzemmód kivételeinek kezelésénél, illetve incidens esetén annak tisztázásakor is, hogy a kezelő előre láthatta-e a rendszer viselkedését.

Csak ilyen háttér mellett érdemes az ISO 13850 szabványra hivatkozni. A szabvány egyértelművé teszi a vészleállítás szerepét: a veszélyes folyamat leállítására vagy a veszély következményeinek csökkentésére szolgál, és az eszköz feloldása önmagában nem hozhat létre új veszélyes állapotot. A tervező számára a gyakorlati következtetés egyszerű: az E-STOP eszköz feloldott helyzetbe való visszaállása önmagában nem helyettesítheti azt a tudatos műveletet, amelyet a gép biztonsági koncepciója megkövetel.

A lengyel és uniós gyakorlatban azonban nem kizárólag a szabvánnyal való logikai összhangról van szó. Ugyanilyen fontos, hogy a teljes megoldás összhangban legyen a gépek megfelelőségéhez kapcsolódó műszaki dokumentációval, a használati utasítással, a kockázatértékelés eredményeivel, valamint korszerűsítés után a biztonsági funkciók validálásának frissítési terjedelmével. Később a szállító és a felhasználó közötti viszonyban ezeket az elemeket vizsgálják, nem pedig a vezérlőprogram egyetlen bejegyzését.

A gyakorlati következtetés egyértelmű. Ha a tervező nem tudja bemutatni, mi történik az E-STOP felengedése után, mely energiák térnek vissza, mely elemek változtathatnak helyzetet, és miért biztonságos ez az állapot, akkor nem szabad olyan eljárási kivételeket beírni, mint például hogy „a kezelő ilyenkor ne tartózkodjon a zónában”. Vissza kell térni a funkciókhoz, a szekvenciához és a feloldás, a reset, valamint az újraindítás közötti felelősségi körök megosztásához. Csak az a megoldás tekinthető műszakilag kiforrottnak, amely védhető a kapcsolási rajzon, az átvételi próbák során, a kezelési utasításban és a kockázatértékelésben.