E-STOP ķēžu projektēšana saskaņā ar ISO 13850 – kad nepieciešama manuāla atiestate, bet kad automātiska?

Jautājumu par to, vai pēc avārijas apturēšanas aktivizēšanās izmantot manuālu vai automātisku atiestatīšanu, vislabāk izlemt jau koncepcijas posmā. Vēlāk šis lēmums vairs nav tikai neliels programmas iestatījums — tas sāk ietekmēt vadības arhitektūru, piedziņu un darba vides uzvedību, pieņemšanas pārbaudes, lietošanas instrukciju un traucējumu novēršanas kārtību. Praksē runa nav tikai par atiestatīšanas veida izvēli, bet gan par to, kādu stāvokli iekārta sasniedz pēc E-STOP atbloķēšanas un vai šis stāvoklis ir drošs bez papildu, apzinātas cilvēka darbības.

Atiestatīšana nav sīkums

Jautājums par atiestatīšanu pēc E-STOP ļoti bieži tiek uzdots pārāk vēlu. Kad iekārtas loģika jau ir pabeigta, procesa secības uzrakstītas un vadības sistēmā pieņemti pieņēmumi par piedziņu un signālu stāvokļiem pēc drošības funkcijas zuduma, atiestatīšanas veida maiņa vairs nav vienkārša korekcija. Tā sāk ietekmēt kontroliera programmu, drošības funkcijas rūpnieciskajā automātikā, funkcionālās pārbaudes, dokumentāciju un pieņemšanas nosacījumus. Tāpēc rīcības kārtība pēc avārijas apturēšanas nostrādes nedrīkst izrietēt no projektētāja ieradumiem vai spiediena saīsināt dīkstāvi.

Tas ir arhitektūras lēmums. Tas jāsaista ar atbildi uz diviem jautājumiem: kādu stāvokli iekārtai jāsasniedz pēc avārijas apturēšanas ierīces atbloķēšanas un vai šis stāvoklis ir tikai drošs stāvoklis, vai jau gatavība kustībai. Tieši šeit visbiežāk rodas kļūda. Tā nav pati manuālās vai automātiskās atiestatīšanas izvēle, bet gan tas, ka komanda neizvērtē, vai pēc E-STOP atlaišanas iekārta var pāriet stāvoklī, ko operators negaida.

Ja pogas atlaišana izraisa ne tikai apturēšanas funkcijas atcelšanu, bet arī piedziņu gatavības atjaunošanu, pneimatikas barošanas atgriešanu vai procesa loģikas atgriešanos tajā solī, no kura kustība var sākties pēc viena starta signāla, to nedrīkst vērtēt tikai no ērtības viedokļa. Jāanalizē paredzētā atkārtotā palaišana, negaidītas iedarbināšanas novēršana un apkalpošanas ergonomika: kas veic atiestatīšanu, no kuras vietas un vai no šīs pozīcijas tiešām ir redzama bīstamā zona.

Nozīme ir visas sistēmas uzvedībai pēc iejaukšanās, nevis tikai pašai E-STOP pogai. Jāzina, vai piedziņas paliek atslēgtas, vai servopiedziņas pēc atlaišanas atgriežas gatavības stāvoklī, vai pneimatiskā sistēma pēc atgaisošanas atkal tiek padota, vai kontrolierī signāli tiek uzturēti un kādā secībā notiek apstiprinājumi un atbloķēšana. Citādi vērtē iekārtu, kas pēc avārijas apturēšanas atlaišanas paliek nekustīga un prasa atsevišķu, apzinātu palaišanas komandu, un citādi tādu, kas atgriežas procesa starpstāvoklī un gandrīz automātiski atjauno kustībai nepieciešamos apstākļus.

Šeit parādās svarīgākais projektēšanas kritērijs: vispirms nejautāt, ko formāli drīkst izmantot, bet gan kāds iekārtas stāvoklis faktiski iestāsies pēc E-STOP atbloķēšanas un vai šis stāvoklis ir drošs bez papildu cilvēka darbības. Normatīvā atsauce šo izvērtējumu sakārto, bet neaizstāj. Galvenais nav apkalpošanas ērtums, bet gan tas, lai atiestatīšana pati par sevi neradītu bīstamu situāciju.

Kur patiesībā pieaug risks un izmaksas

Visvairāk projektēšanas kļūdu rodas nevis tur, kur iekārta pēc E-STOP nostrādes vienkārši apstājas, bet gan tur, kur apturēšana notiek starpstāvoklī. Tas īpaši attiecas uz iepakošanas līnijām, robotizētām šūnām, sistēmām ar piespiešanu, daudzasu piedziņām un ķēdēm ar pneimatikā, hidraulikā vai mehāniskajos elementos uzkrātu enerģiju. Šādās sistēmās apturēšanas cēloņa novēršana vēl nenozīmē, ka darbu var droši atsākt.

Izstrādājums var palikt iesprūdis, ass var apstāties ārpus drošās pozīcijas, satvērējs joprojām var turēt detaļu, bet spiediens vai griezes moments joprojām var iedarboties uz mehānismu. Šādā situācijā izvēle starp manuālu un automātisku atiestatīšanu neattiecas uz operatora ērtību, bet gan uz to, kāds iekārtas stāvoklis faktiski izveidosies pēc E-STOP atlaišanas un vai cilvēks to pareizi uztvers.

No projektēšanas viedokļa visbīstamākie ir starprisinājumi. Formāli tie neiedarbina ciklu, bet faktiski atjauno iekārtas spēju veikt kustību vai izraisa palīgkustību. Automātiska atiestatīšana vilina tur, kur svarīga ir pieejamība un ātra atgriešanās ražošanā, tomēr pēc E-STOP atlaišanas kontrolieris var atjaunot piedziņu gatavību, aktivizēt izejas, atjaunot spiedienu vai atbloķēt bremzes. Tad operators redz iekārtu kā joprojām apturētu, lai gan no enerģijas un vadības loģikas viedokļa tā vairs nav pasīva.

Tieši šāda pusautomātiska uzvedība visbiežāk izraisa strīdus pieņemšanas laikā. Iekārta pati nesāk pilnu ciklu, bet atgūst enerģiju, saspiež elementu, piebrauc bāzes pozīcijā vai ieslēdz palīgfunkciju. No projektēšanas viedokļa tās nav saskarnes detaļas, bet gan lēmumi par robežu starp pieļaujamu gatavības atjaunošanu un nepieļaujamu darbības atsākšanu.

Praksē problēmai parasti ir jaukts raksturs, jo tā apvieno drošības un darba organizācijas jautājumus. Manuāla atiestate samazina negaidītas atkārtotas iedarbināšanas risku, taču, ja tā ir slikti izstrādāta, tā ātri rada savas izmaksas. Ja atiestates poga ir novietota ārpus zonas redzamības lauka, tai nepieciešama papildu piekļuve vai tā nav skaidri nodalīta no E-STOP atbloķēšanas un starta komandas, operators sāk uztvert procedūru kā šķērsli. Tad parādās apiešanas risinājumi, tehniskās apkopes dienesta iejaukšanās, instrukciju labojumi un papildu apmācības. Ja lietotājs nespēj nepārprotami saprast atšķirību starp sēnes pogas atbloķēšanu, drošības ķēdes atiestati un procesa atkārtotu palaišanu, problēma nav tikai normas formulējumā, bet visā apkalpošanas arhitektūrā, tostarp HMI paziņojumos un mašīnas zonu sadalījumā.

Labs piemērs ir šūna ar konveijeru un pneimatisko satvērēju. Pēc E-STOP nostrādes transportieris apstājas, satvērējs paliek starpstāvoklī, bet detaļa netiek nolikta. Pēc E-STOP atlaišanas vadība atjauno pneimatisko padevi, jo sistēmai nav atsevišķas drošas atslogošanas loģikas. Formāli starta komanda nav dota, taču cilindrs atgūst enerģiju un izpildmehānisms veic īsu, negaidītu kustību, ko izraisa vienīgi spiediena atgriešanās. Šādu gadījumu izmēģinājumu laikā bieži ir grūti atkārtot, taču tas ļoti ātri grauj lietotāja uzticēšanos mašīnai.

Sekas sniedzas tālāk par pašu traumu risku. Parādās tehniskās apkopes dienesta iejaukšanās, ieilgst pieņemšana, tiek labota programma, instrukcijās tiek pierakstīti izņēmumi un rodas strīdi par to, vai pēc E-STOP jāizlaiž spiediens vai piedziņas moments, vai tikai jābloķē turpmākās kustības komandas. Līdzīgas problēmas rodas arī automātiskas bāzēšanas gadījumā pēc apstādināšanas, kā arī tad, ja ir centrāla E-STOP ķēde, kas aptver zonas ar atšķirīgu redzamību un atšķirīgām enerģijas atgriešanās sekām.

Šajā posmā atsauce uz PN‑EN ISO 13850 un avārijas apturēšanas ierīces prasībām palīdz ieviest skaidrību. Pats fakts, ka pēc E-STOP atlaišanas nenotiek pilns cikla starts, vēl nenosaka, vai risinājums ir pieņemams. Jānovērtē, vai enerģijas atgriešanās, piedziņu gatavības atjaunošana, satvērēja nostrāde, asu bremžu atlaišana vai kustība uz bāzes pozīciju nerada bīstamu vai operatoram maldinošu stāvokli. Tāpēc praksē jāvērtē nevis tikai pats atiestates signāls, bet visa secība.

Kā pieņemt projektēšanas lēmumu

Lēmumu par atiestati pēc avārijas apturēšanas nostrādes ir vērts sākt ar mašīnas stāvokļu aprakstu, nevis ar jautājumu par apkalpošanas ērtumu. Nepārprotami jāapraksta, kas notiek pēc E-STOP nospiešanas un pēc tā atbloķēšanas: kuri enerģijas ceļi tiek atslēgti, kuri paliek zem sprieguma, vai atgriežas piedziņu gatavība, vai asīm tiek atlaistas bremzes, vai cilindri var pabeigt kustību atlikušā spiediena, gravitācijas vai elastīgās enerģijas ietekmē, kā arī vai pēc gatavības atjaunošanas pastāv jebkāda automātiska secība.

Tikai uz šī pamata var atbildēt, vai pati sēnes pogas atlaišana no drošības viedokļa ir neitrāla vai tomēr jau ir stāvokļa maiņa, kas var apdraudēt cilvēku. Ja E-STOP atbloķēšana atjauno enerģiju tādā veidā, kura sekas operators pilnībā neredz vai kas var mainīt izpildmehānismu stāvokli, par sākumpunktu kļūst manuāla atiestate. Savukārt, ja atbloķēšana neizraisa kustību, neatjauno bīstamu enerģiju un neiedarbina nekādu secību, var apsvērt automātisku atgriešanos gatavības stāvoklī, bet tikai tad, ja turpmākai procesa palaišanai ir nepieciešama atsevišķa, nepārprotama komanda.

Praksē palīdz trīs darbību nodalīšana, kuras pārāk bieži tiek sajauktas vienā signālā vai vienā operatora paziņojumā. Avārijas apturēšanas ierīces atbloķēšana ir mehāniska darbība un nozīmē tikai to, ka poga ir atgriezusies gatavības stāvoklī. Drošības funkcijas atiestate ir atsevišķs apstiprinājums, ka drošības nosacījumus atkal var uzskatīt par izpildītiem. Procesa palaišana ir vēl kas cits: lēmums sākt kustību vai atsākt ciklu.

Ja šie līmeņi pārklājas, lietotājs vairs nesaprot, vai E-STOP atlaišana jau kaut ko iedarbina vai tikai noņem bloķējumu, bet projektēšanas komanda zaudē iespēju aizstāvēt pieņemto loģiku atbilstības novērtēšanas laikā. Tā paša iemesla dēļ atiestates pogas novietojums ir projektēšanas, nevis kosmētisks jautājums. Personai, kas veic atiestati, jābūt iespējai novērtēt zonu, kurai tā atjauno gatavību, vai arī sistēmai jānodrošina cita uzticama stāvokļa apstiprināšanas metode.

Sarežģītākās līnijās tas var nozīmēt lokālu atiestati konkrētai zonai, vienlaikus saglabājot pārējās iekārtas daļas gatavību, bet tikai tad, ja zonu robežas, atkarības starp piedziņām un enerģijas atjaunošanas sekas ir skaidri definētas. Šādam lēmumam jāizriet no funkciju analīzes, nevis no vēlmes vienkāršot apkalpošanu. Tā ir iekārtas projektēšanas izvēle.

Labs lēmuma pārbaudes veids ir secības apraksts, nevis tikai elektriskā shēma. Komandai jāspēj atbildēt uz vairākiem kontroljautājumiem:

• vai pēc E-STOP atlaišanas atgriežas enerģija vai izpildes gatavība tādā veidā, ko mašīna “izjūt”,
• vai jebkāda kustība var notikt bez atsevišķas palaišanas komandas,
• vai persona, kas veic atiestati, redz visu zonu un var izslēgt cilvēka klātbūtni, kā arī procesa starpstāvokli.

Ja uz kādu no šiem jautājumiem atbilde nav nepārprotami droša, automātiska atgriešanās kļūst par risinājumu, ko ir grūti pamatot. Tas jo īpaši attiecas uz sistēmām, kurās pēc apstādināšanas detaļa paliek satvērējā, cilindrs ir apstājies starpstāvoklī, ass tiek noturēta ar griezes momentu, bet bloķējuma zudums var izraisīt noslīdēšanu vai pārvietošanos. Šādos gadījumos manuāla atiestate nav formalitāte, bet gan liek apzināti pārbaudīt situāciju pirms gatavības stāvokļa atjaunošanas.

Turpretī tur, kur pēc E-STOP atbloķēšanas sistēma paliek pasīva un kustības sākšanai nepieciešama atsevišķa operatora darbība vai augstāka līmeņa secība, automātiska atgriešanās var samazināt dīkstāvi, nepasliktinot drošības līmeni. Piemērs var būt darba vieta ar norobežotu darba zonu un piedziņu, kas pēc E-STOP zaudē kustības iespēju, bet pēc atbloķēšanas atgūst vadības barošanu un gatavības stāvokli, neveicot nekādu ass vai cilindra kustību. Tomēr tas pats ieraksts kontrolierī kļūst apšaubāms transfera mašīnā, kur E-STOP atlaišana atbrīvo asi no bremzes, atjauno spiedienu uz sadalītājvārstiem vai ļauj pabeigt pārtrauktu secības soli.

Tāpēc lēmums jāfiksē ne tikai kodā, bet arī projekta dokumentos: shēmās, stāvokļu matricā, restarta secības aprakstā, HMI paziņojumos, iestrēgumu novēršanas procedūrās un pieņemšanas pārbaužu scenārijos. Ja šo loģiku lietotājam nevar izskaidrot ar vienu saskaņotu aprakstu — ko dara E-STOP atlaišana, ko dara atiestate un kas iedarbina procesu — tas parasti liecina, ka funkciju sadalījums ir kļūdains vai pārāk sarežģīts.

Vispirms prakse, pēc tam normatīvā atsauce

Praksē par atiestates veidu pēc avārijas apturēšanas nostrādes neizšķir funkcijas nosaukums, bet atbilde uz vienkāršu jautājumu: kas tieši notiks ar mašīnu pēc sēnes pogas atlaišanas un vai šis stāvoklis ir nepārprotami drošs. Tas ir projektēšanas lēmums, nevis lietotāja izvēle vai saīsināts pieņēmums, kas pārnests no iepriekšēja projekta.

Komandai jāspēj aprakstīt pilna notikumu ķēde: apturēšana, enerģijas noņemšana līdz riska novērtējumā prasītajam līmenim, ierīces atbloķēšana, funkcijas atiestate, gatavības apstiprinājums un tikai pēc tam atkārtota palaišana. Ja kāds no šiem posmiem pārklājas ar citu vai ir atkarīgs no kontroliera noklusētās darbības, pieņemšanas laikā rodas strīdu risks un ekspluatācijas kļūdas, kuras vēlāk nevar novērst tikai ar instrukciju.

To labi var redzēt, modernizējot esošu šūnu, kur lietotājs sagaida īsākas dīkstāves pēc nelielu traucējumu novēršanas, bet integrators, lai vienkāršotu apkalpošanu, piedāvā automātisku atgriešanos pēc E-STOP atlaišanas. Vispārīgā apraksta līmenī risinājums šķiet saprātīgs: operators novērš apstāšanās cēloni, atbloķē ierīci, un mašīna atgriežas gatavības stāvoklī bez papildu atiestates pogas. Problēma atklājas tikai starpstāvoklī.

Ja pēc darba vides atjaunošanas cilindrs atgūst spiedienu tādā stāvoklī, ka var veikt gājienu, pievirzi vai satvērēja atslogošanu bez jauna operatora nodoma, tad atgriešanās gatavības stāvoklī vairs nav neitrāls loģiskais stāvoklis. Faktiski tā kļūst par procesa kustības fragmentu, tikai paslēptu zem cita nosaukuma. Šāds gadījums parasti prasa nevis programmas kosmētisku labojumu, bet atgriešanos pie funkciju arhitektūras: atbloķēšanas nodalīšanu no atiestates, nepārprotamu gatavības apstiprinājumu vai atgaisošanas un atkārtotas enerģijas padeves secības pārbūvi.

Šis piemērs arī parāda, kādi projekta pierādījumi ir būtiski. Nepietiek ar deklarāciju, ka pēc atlaišanas nekas nesāk darboties, ja pieņemšanas pārbaudēs nav pārbaudīta piedziņu, vārstu, bremžu un secības soļu uzvedība tieši E-STOP atbloķēšanas brīdī. mašīnu tehniskajā dokumentācijā jābūt ierakstam par riska analīzi šim scenārijam, HMI stāvokļu aprakstam, pārbaudes scenārijam pēc avārijas apturēšanas atlaišanas un skaidram lietotāja apstiprinājumam par saskaņoto restarta loģiku. Tieši šajos materiālos vēlāk tiek vērtēta risinājuma konsekvence: mašīnas pieņemšanā, atjauninot ieiešanas zonā procedūras vai LOTO procedūras, nosakot izņēmumus iestatīšanas un servisa režīmam, kā arī incidenta gadījumā skaidrojot, vai operators varēja paredzēt sistēmas uzvedību.

Tikai uz šāda pamata ir vērts atsaukties uz ISO 13850. Standarts nosaka avārijas apturēšanas lomu: tai jākalpo bīstamā procesa apturēšanai vai apdraudējuma seku ierobežošanai, un ierīces atbloķēšana pati par sevi nedrīkst radīt jaunu bīstamu stāvokli. Projektētājam praktiskais secinājums ir vienkāršs: pati E-STOP ierīces atgriešanās atbloķētā stāvoklī nevar aizstāt apzinātu darbību, ko prasa mašīnas drošības koncepcija.

Tomēr Polijas un Eiropas Savienības praksē runa nav tikai par loģisku atbilstību standartam. Tikpat svarīga ir visa risinājuma saskaņotība ar tehnisko dokumentāciju atbilstoši Mašīnu direktīvai, lietošanas instrukciju, riska novērtējuma rezultātiem un pēc modernizācijas — ar drošības funkciju validācijas atjaunināšanas apjomu. Tieši šie elementi vēlāk tiks pārbaudīti piegādātāja un lietotāja attiecībās, nevis atsevišķs ieraksts kontroliera programmā.

Praktiskais secinājums ir nepārprotams. Ja projektētājs nespēj parādīt, kas notiek pēc E-STOP atlaišanas, kāda enerģija atjaunojas, kuri elementi var mainīt savu stāvokli un kāpēc šis stāvoklis ir drošs, procedūrās nevajadzētu iekļaut izņēmumus, piemēram, “operatoram tajā brīdī nevajadzētu atrasties zonā”. Ir jāatgriežas pie funkcijas, secības un atbildības sadalījuma starp atbloķēšanu, atiestatīšanu un atkārtotu palaišanu. Tikai risinājumu, ko var pamatot shēmā, pieņemšanas pārbaudēs, instrukcijā un riska novērtējumā, var uzskatīt par tehniski nobriedušu.