Avarinio stabdymo grandinių projektavimas pagal ISO 13850 – kada taikyti rankinį atstatymą, o kada automatinį?

Ar po avarinio stabdymo suveikimo taikyti rankinį, ar automatinį atstatymą, geriausia nuspręsti dar koncepcijos etape. Vėliau šis sprendimas nebėra tik smulkus programos nustatymas – jis ima veikti valdymo architektūrą, pavarų ir terpių elgseną, priėmimo bandymus, naudojimo instrukciją ir trikdžių šalinimo tvarką. Praktikoje svarbu ne vien pats atstatymo tipo pasirinkimas, o tai, kokią būseną mašina pasiekia atblokavus E-STOP ir ar ši būsena yra saugi be papildomo, sąmoningo žmogaus veiksmo.

Atstatymas nėra smulkmena

Klausimas dėl atstatymo po E-STOP labai dažnai iškyla per vėlai. Kai mašinos logika jau būna užbaigta, proceso sekos parašytos, o valdymo sistemoje priimtos prielaidos dėl pavarų būsenų ir signalų po saugos funkcijos praradimo, atstatymo būdo keitimas nustoja būti korekcija. Jis pradeda veikti valdiklio programą, saugos funkcijas pramonės automatikoje, funkcinius bandymus, dokumentaciją ir priėmimo sąlygas. Todėl veiksmų tvarka po avarinio stabdymo suveikimo neturėtų būti grindžiama projektuotojo įpročiais ar spaudimu sutrumpinti prastovą.

Tai architektūrinis sprendimas. Jį reikia susieti su atsakymais į du klausimus: kokią būseną mašina turi pasiekti atblokavus avarinio stabdymo įtaisą ir ar ši būsena yra tik saugi būsena, ar jau parengties judesiui būsena. Būtent čia dažniausiai ir atsiranda klaida. Ji slypi ne pačiame rankinio ar automatinio atstatymo pasirinkime, o tame, kad komanda neįvertina, ar atleidus E-STOP mašina gali pereiti į būseną, kurios operatorius nesitiki.

Jeigu atleidus mygtuką ne tik panaikinama stabdymo funkcija, bet ir atkuriama pavarų parengtis, grąžinamas pneumatikos maitinimas arba proceso logika sugrąžinama į žingsnį, iš kurio judesys gali prasidėti gavus vieną paleidimo signalą, to negalima vertinti vien patogumo požiūriu. Reikia išanalizuoti numatytą paleidimą iš naujo, nepageidaujamo paleidimo prevenciją ir valdymo ergonomiką: kas atlieka atstatymą, iš kurios vietos ir ar iš tos vietos iš tikrųjų mato pavojingą zoną.

Svarbi yra visos sistemos elgsena po įsikišimo, o ne vien pats E-STOP mygtukas. Reikia žinoti, ar pavaros lieka atjungtos, ar servopavaros po atleidimo grįžta į parengties būseną, ar pneumatinė sistema po nuorinimo vėl gauna maitinimą, ar signalai valdiklyje yra palaikomi ir kokia seka vyksta patvirtinimai bei atblokavimai. Kitaip vertinama mašina, kuri atleidus avarinį stabdymą lieka nejudri ir reikalauja atskiros, sąmoningos paleidimo komandos, ir kitaip tokia, kuri grįžta į tarpinį proceso žingsnį ir beveik automatiškai atkuria sąlygas judesiui.

Čia išryškėja svarbiausias projektavimo kriterijus: pirmiausia klausti ne to, ką formaliai leidžiama taikyti, o kokia mašinos būsena iš tikrųjų susidarys atblokavus E-STOP ir ar ši būsena yra saugi be papildomo žmogaus veiksmo. Norminis atskaitos taškas padeda šį vertinimą susisteminti, tačiau jo nepakeičia. Esmė yra ne valdymo patogumas, o tai, kad atstatymas pats savaime nesukurtų pavojingos situacijos.

Kur iš tikrųjų didėja rizika ir kaštai

Daugiausia projektavimo klaidų atsiranda ne ten, kur mašina po E-STOP suveikimo tiesiog sustoja, o ten, kur sustojama tarpinėje būsenoje. Tai ypač būdinga gamybos ir technologinėms linijoms, robotizuotoms celėms, sistemoms su prispaudimu, daugiakoordinatėms pavaroms ir grandinėms, kuriose energija sukaupta pneumatikoje, hidraulikoje ar mechaniniuose elementuose. Tokiose sistemose sustojimo priežasties pašalinimas dar nereiškia, kad galima saugiai grįžti prie darbo.

Gaminys gali likti užstrigęs, ašis gali sustoti nesaugioje padėtyje, griebtuvas gali ir toliau laikyti detalę, o slėgis arba sukimo momentas vis dar gali veikti mechanizmą. Tokioje situacijoje pasirinkimas tarp rankinio ir automatinio atstatymo susijęs ne su operatoriaus patogumu, o su tuo, kokia mašinos būsena iš tikrųjų susidarys atleidus E-STOP ir ar žmogus ją teisingai supras.

Projektavimo požiūriu pavojingiausi yra tarpiniai sprendimai. Formaliai jie nepaleidžia ciklo, tačiau faktiškai atkuria mašinos gebėjimą atlikti judesį arba sukelia pagalbinį judesį. Automatinis atstatymas vilioja ten, kur svarbus prieinamumas ir greitas grįžimas į gamybą, tačiau atleidus E-STOP valdiklis gali atkurti pavarų parengtį, suaktyvinti išėjimus, grąžinti slėgį arba atleisti stabdžius. Tada operatorius mato mašiną kaip vis dar sustabdytą, nors energijos ir valdymo logikos požiūriu ji jau nebėra pasyvi.

Būtent toks pusiau automatinis elgesys dažniausiai tampa ginčų priežastimi per priėmimą. Mašina pati nepradeda viso ciklo, tačiau atgauna energiją, suspaudžia elementą, nuvažiuoja į bazinę padėtį arba įjungia pagalbinę funkciją. Projektavimo požiūriu tai nėra sąsajos detalės, o sprendimai dėl ribos tarp leistino parengties atkūrimo ir neleistino veikimo atnaujinimo.

Praktikoje ši problema paprastai yra mišri, nes apima ir saugą, ir darbo organizavimą. Rankinis atstatymas sumažina netikėto pakartotinio paleidimo riziką, tačiau netinkamai suprojektuotas greitai pradeda generuoti savas sąnaudas. Jei atstatymo mygtukas įrengtas už zonos matomumo ribų, iki jo reikia papildomai prieiti arba jis nėra aiškiai atskirtas nuo E-STOP atblokavimo ir paleidimo komandos, operatoriai procedūrą ima vertinti kaip kliūtį. Tuomet atsiranda apėjimai, techninės priežiūros intervencijos, instrukcijų pataisos ir papildomi mokymai. Jei naudotojas negali aiškiai suprasti skirtumo tarp avarinio stabdymo mygtuko atblokavimo, saugos grandinės atstatymo ir pakartotinio proceso paleidimo, problema slypi ne vien standarto tekste, bet visoje valdymo architektūroje, įskaitant HMI pranešimus ir mašinos zonų suskirstymą.

Geras pavyzdys – celė su konvejeriu ir pneumatiniu griebtuvu. Suveikus E-STOP, transporteris sustoja, griebtuvas lieka tarpinėje padėtyje, o detalė nepadedama. Atleidus E-STOP, valdymo sistema atkuria pneumatinį maitinimą, nes nėra atskiros saugaus sistemos iškrovimo logikos. Formaliai paleidimo komanda nebuvo duota, tačiau cilindras vėl gauna energiją, o vykdomasis elementas atlieka trumpą, netikėtą judesį vien dėl slėgio sugrįžimo. Tokį atvejį bandymų metu dažnai sunku atkurti, tačiau jis labai greitai pakerta naudotojo pasitikėjimą mašina.

Pasekmės neapsiriboja vien sužalojimo rizika. Atsiranda techninės priežiūros intervencijos, užsitęsia priėmimas, taisoma programa, į instrukcijas įrašomos išimtys ir kyla ginčai, ar po E-STOP reikia nuimti slėgį arba pavaros momentą, ar tik blokuoti tolesnes judesio komandas. Panašios problemos kyla ir automatinio bazavimo po sustabdymo atveju, taip pat kai naudojama centrinė E-STOP grandinė, apimanti zonas, kurių matomumas skiriasi ir kuriose energijos sugrįžimo pasekmės nevienodos.

Šiame etape nuoroda į PN‑EN ISO 13850 ir reikalavimus avarinio stabdymo įtaisui padeda įvesti aiškumą. Vien tai, kad atleidus E-STOP neįvyksta pilnas ciklo paleidimas, dar nenulemia, ar sprendimas yra priimtinas. Reikia įvertinti, ar energijos sugrįžimas, pavarų parengties atkūrimas, griebtuvo suveikimas, ašių stabdžių atleidimas arba judėjimas į bazinę padėtį nesukuria pavojingos būsenos ir neklaidina operatoriaus. Todėl praktikoje reikia vertinti ne patį atstatymo signalą, o visą seką.

Kaip priimti projektinį sprendimą

Sprendimą dėl atstatymo po avarinio stabdymo suveikimo verta pradėti nuo mašinos būsenų aprašymo, o ne nuo klausimo apie valdymo patogumą. Reikia aiškiai išdėstyti, kas vyksta paspaudus E-STOP ir po jo atblokavimo: kurie energijos keliai atjungiami, kurie lieka maitinami, ar atkuriama pavarų parengtis, ar atleidžiami ašių stabdžiai, ar cilindrai gali užbaigti judesį dėl likutinio slėgio, gravitacijos arba tamprumo energijos, taip pat ar atkūrus parengtį egzistuoja bet kokia savaiminė seka.

Tik tuo remiantis galima atsakyti, ar vien avarinio stabdymo mygtuko atleidimas saugos požiūriu yra neutralus, ar jau reiškia būsenos pasikeitimą, galintį kelti pavojų žmogui. Jei E-STOP atblokavimas atkuria energiją taip, kad operatorius nevisiškai mato pasekmes, arba gali pakeisti vykdomųjų elementų padėtį, atskaitos tašku tampa rankinis atstatymas. Jei atblokavimas nesukelia judesio, neatkuria pavojingos energijos ir nepaleidžia jokios sekos, galima svarstyti automatinį grįžimą į parengties būseną, tačiau tik tada, kai tolesniam proceso paleidimui būtina atskira, aiški komanda.

Praktikoje padeda trijų veiksmų atskyrimas, nes pernelyg dažnai jie suplakami į vieną signalą arba vieną operatoriui skirtą pranešimą. Avarinio stabdymo įtaiso atblokavimas yra mechaninis veiksmas ir reiškia tik tai, kad mygtukas grįžo į parengties padėtį. Saugos funkcijos atstatymas yra atskiras patvirtinimas, kad saugos sąlygos vėl gali būti laikomos įvykdytomis. Proceso paleidimas – dar kas kita: tai sprendimas pradėti judesį arba atnaujinti ciklą.

Jei šie lygiai persidengia, naudotojas nebesupranta, ar E-STOP atleidimas jau kažką paleidžia, ar tik panaikina blokavimą, o projektavimo komanda praranda galimybę apginti pasirinktą logiką atliekant atitikties vertinimą. Dėl tos pačios priežasties atstatymo mygtuko vieta yra projektinis, o ne kosmetinis klausimas. Asmuo, atliekantis atstatymą, turi turėti galimybę įvertinti zoną, kuriai atkuriama parengtis, arba sistema turi užtikrinti kitą patikimą būsenos patvirtinimo būdą.

Sudėtingesnėse linijose tai gali reikšti vietinį konkrečios zonos atstatymą, išlaikant likusios įrenginio dalies parengtį, tačiau tik tada, kai zonų ribos, priklausomybės tarp pavarų ir energijos atkūrimo pasekmės yra aiškiai apibrėžtos. Toks sprendimas turi būti pagrįstas funkcijų analize, o ne noru supaprastinti valdymą.

Geras sprendimo testas yra sekos aprašymas, o ne vien elektros schema. Komanda turi gebėti atsakyti į kelis kontrolinius klausimus:

• ar atleidus E-STOP grįžta energija arba vykdomųjų elementų parengtis taip, kad tai būtų juntama mašinos veikimui,
• ar be atskiros paleidimo komandos gali įvykti bet koks judesys,
• ar atstatymą atliekantis asmuo mato visą zoną ir gali atmesti žmogaus buvimą bei tarpinę proceso būseną.

Jei į kurį nors iš šių klausimų atsakymas nėra vienareikšmiškai saugus, automatinį grįžimą tampa sunku pagrįsti. Tai ypač aktualu sistemoms, kuriose po sustabdymo detalė lieka laikiklyje, cilindras sustoja tarpinėje padėtyje, ašis laikoma sukimo momentu, o dingus blokavimui gali prasidėti nusileidimas arba poslinkis. Tokiais atvejais rankinis atstatymas nėra formalumas – jis verčia sąmoningai patikrinti situaciją prieš atkuriant parengtį.

Tuo tarpu ten, kur atblokavus E-STOP sistema lieka pasyvi, o judesiui paleisti reikia atskiro operatoriaus veiksmo arba aukštesnio lygio sekos, automatinis grįžimas gali sumažinti prastovas nepablogindamas saugos lygio. Pavyzdys galėtų būti darbo vieta su apsaugota darbo zona ir pavara, kuri po E-STOP praranda galimybę judėti, tačiau po atblokavimo atgauna valdymo maitinimą ir parengties būseną, neatlikdama jokio ašies ar cilindro judesio. Tačiau tas pats įrašas valdiklyje tampa abejotinas transferinėje mašinoje, kur E-STOP atleidimas nuima ašies stabdymą, atkuria slėgį skirstytuvams arba leidžia užbaigti nutrauktą sekos žingsnį.

Todėl šį sprendimą reikia aprašyti ne tik kode, bet ir projektinėje dokumentacijoje: schemose, būsenų matricoje, paleidimo iš naujo sekos apraše, HMI pranešimuose, strigčių šalinimo procedūrose ir priėmimo bandymų scenarijuose. Jei šios logikos neįmanoma vartotojui paaiškinti vienu nuosekliu aprašu – ką daro E-STOP atleidimas, ką daro atstatymas ir kas paleidžia procesą – tai paprastai reiškia, kad funkcijų paskirstymas yra neteisingas arba pernelyg sudėtingas.

Pirmiausia praktika, paskui norminis pagrindas

Praktikoje apie atstatymo būdą po avarinio sustabdymo suveikimo sprendžia ne funkcijos pavadinimas, o atsakymas į paprastą klausimą: kas tiksliai nutiks mašinai atleidus avarinio stabdymo mygtuką ir ar ši būsena yra vienareikšmiškai saugi. Tai yra projektinis sprendimas, o ne naudotojo pageidavimas ar mąstymo trumpinys, perkeltas iš ankstesnio projekto.

Komanda turi gebėti aprašyti visą įvykių grandinę: sustabdymą, energijos pašalinimą iki rizikos vertinime reikalaujamo lygio, įrenginio atblokavimą, funkcijos atstatymą, parengties patvirtinimą ir tik tada pakartotinį paleidimą. Jei kuris nors iš šių etapų persidengia su kitu arba priklauso nuo numatytojo valdiklio veikimo, atsiranda erdvės ginčams priėmimo metu ir eksploatavimo klaidoms, kurių vėliau neįmanoma ištaisyti vien instrukcija.

Tai ypač aiškiai matyti modernizuojant esamą gamybinę celę, kai naudotojas tikisi trumpesnių prastovų pašalinus smulkius trikdžius, o integratorius siūlo automatinį grįžimą po E-STOP atleidimo, kad būtų paprasčiau valdyti. Bendro sprendimo aprašo lygmeniu tai atrodo pagrįsta: operatorius pašalina sustabdymo priežastį, atblokuoja įrenginį, ir mašina grįžta į parengtį be papildomo atstatymo mygtuko. Problema išryškėja tik tarpinėje būsenoje.

Jei atkūrus darbinę terpę cilindras atgauna slėgį tokioje padėtyje, kad gali atlikti eigą, pritraukimą arba atlaisvinti griebtuvą be naujo operatoriaus ketinimo, tuomet grįžimas į parengtį nustoja būti neutralia logine būsena. Iš tikrųjų tai tampa proceso judesio dalimi, tik paslėpta po kitu pavadinimu. Tokiu atveju paprastai reikia ne kosmetinių programos pataisų, o grįžti prie funkcijų architektūros: atskirti atblokavimą nuo atstatymo, įvesti aiškų parengties patvirtinimą arba pertvarkyti nuorinimo ir pakartotinio energijos tiekimo seką.

Šis pavyzdys taip pat parodo, kokie projektiniai įrodymai yra svarbūs. Nepakanka deklaracijos, kad po atleidimo niekas nepasileidžia, jei priėmimo bandymuose nebuvo patikrinta pavarų, vožtuvų, stabdžių ir sekos žingsnių elgsena būtent E-STOP atblokavimo momentu. Mašinų techninėje dokumentacijoje turi būti įrašyta šio scenarijaus rizikos analizė, HMI būsenų aprašas, bandymo scenarijus po avarinio sustabdymo atleidimo ir aiškus naudotojo patvirtinimas dėl suderintos paleidimo iš naujo logikos. Būtent šioje medžiagoje vėliau vertinamas sprendimo nuoseklumas: priimant mašiną, atnaujinant patekimo į zoną procedūras arba LOTO procedūras, taikant išimtis derinimo ir techninės priežiūros režimams, o incidento atveju – ir aiškinantis, ar operatorius galėjo numatyti sistemos elgseną.

Tik tokiame kontekste verta remtis ISO 13850. Šis standartas apibrėžia avarinio sustabdymo paskirtį: jis turi būti skirtas pavojingam procesui sustabdyti arba grėsmės padariniams sumažinti, o įrenginio atblokavimas savaime negali sukurti naujos pavojingos būsenos. Projektuotojui praktinė išvada paprasta: vien tik E-STOP įrenginio grįžimas į atblokuotą padėtį negali pakeisti sąmoningo veiksmo, kurio reikalauja mašinos saugos koncepcija.

Tačiau Lietuvos ir Europos Sąjungos praktikoje kalbama ne vien apie loginę atitiktį standartui. Ne mažiau svarbus yra viso sprendimo nuoseklumas su technine dokumentacija pagal CE reikalavimus mašinoms, naudojimo instrukcija, rizikos vertinimo rezultatais ir, po modernizavimo, su saugos funkcijų validavimo atnaujinimo apimtimi. Būtent šie elementai vėliau bus vertinami tiekėjo ir naudotojo santykyje, o ne pavienis įrašas valdiklio programoje.

Praktinė išvada yra vienareikšmė. Jei projektuotojas negali parodyti, kas vyksta atleidus E-STOP, kokia energija vėl atsiranda, kurie elementai gali pakeisti padėtį ir kodėl ši būsena yra saugi, nereikėtų įrašinėti procedūrinių išimčių, tokių kaip „operatorius tuo metu neturėtų būti zonoje“. Reikia grįžti prie funkcijos, sekos ir atsakomybės pasidalijimo tarp atblokavimo, atstatymo ir pakartotinio paleidimo. Tik sprendimą, kurį galima pagrįsti schemoje, priėmimo bandymuose ir mašinų bei linijų saugos audite, instrukcijoje ir rizikos vertinime, galima laikyti techniškai brandžiu.