Ontwerp van E-STOP-circuits volgens ISO 13850 – wanneer handmatige reset en wanneer automatische reset?

Of na activering van de noodstop een handmatige of automatische reset moet worden toegepast, kan het best al in de conceptfase worden bepaald. Later is die keuze geen kleine instelling in het programma meer, maar beïnvloedt zij tegelijk de besturingsarchitectuur, het gedrag van aandrijvingen en media, de acceptatietests, de gebruiksinstructie en de manier waarop storingen worden afgehandeld. In de praktijk gaat het dus niet alleen om de keuze van het type reset, maar om de vraag welke toestand de machine bereikt na het ontgrendelen van de E-STOP en of die toestand veilig is zonder extra, bewuste handeling van de mens.

Reset is geen detail

De vraag naar de reset na een E-STOP komt heel vaak te laat aan bod. Wanneer de machinelogica al is uitgewerkt, de processequenties zijn geschreven en het besturingssysteem al uitgaat van bepaalde toestanden van aandrijvingen en signalen na het wegvallen van de veiligheidsfunctie, is het wijzigen van de resetmethode geen correctie meer. Dan raakt het het PLC-programma, de veiligheidsfuncties in de industriële automatisering, functionele tests, documentatie en acceptatievoorwaarden. Daarom mag de werkwijze na activering van de noodstop niet voortkomen uit de gewoonten van de ontwerper of uit druk om de stilstand te verkorten.

Dit is een architectuurbeslissing. Die moet worden gekoppeld aan het antwoord op twee vragen: welke toestand moet de machine bereiken na het ontgrendelen van de noodstopvoorziening en is die toestand uitsluitend een veilige toestand, of al een toestand van gereedheid voor beweging. Juist hier gaat het het vaakst mis. De fout zit niet in de keuze voor handmatige of automatische reset op zich, maar in het feit dat het team niet analyseert of de machine na het vrijgeven van de E-STOP kan overgaan naar een toestand die de operator niet verwacht.

Als het vrijgeven van de knop niet alleen de stopfunctie opheft, maar ook de gereedheid van de aandrijvingen herstelt, de pneumatische voeding terugbrengt of de proceslogica laat terugkeren naar een stap van waaruit beweging na één startsignaal kan hervatten, mag dat niet uitsluitend vanuit gebruiksgemak worden beoordeeld. Dan moeten de beoogde herstart, de preventie van onverwacht opstarten en de ergonomie van de bediening worden geanalyseerd: wie voert de reset uit, vanaf welke plaats en heeft die persoon vanuit die positie daadwerkelijk zicht op de gevarenzone.

Van belang is het gedrag van het volledige systeem na de ingreep, niet alleen de E-STOP-knop zelf. Er moet duidelijk zijn of aandrijvingen uitgeschakeld blijven, of servoaandrijvingen na vrijgave weer in gereedheid komen, of het pneumatische systeem na ontluchting opnieuw onder druk wordt gezet, of signalen in de besturing behouden blijven en in welke volgorde bevestigingen en vrijgaven plaatsvinden. Een machine die na het vrijgeven van de noodstop stil blijft staan en een afzonderlijk, bewust startcommando vereist, wordt anders beoordeeld dan een machine die terugkeert naar een tussenstap van het proces en de voorwaarden voor beweging bijna automatisch herstelt.

Hier ligt het belangrijkste ontwerpcriterium: niet eerst vragen wat formeel is toegestaan, maar welke machinetoestand daadwerkelijk ontstaat na het ontgrendelen van de E-STOP en of die toestand veilig is zonder extra menselijke handeling. De normatieve verwijzing structureert die beoordeling, maar vervangt haar niet. Het zwaartepunt ligt niet bij bedieningsgemak, maar bij het voorkomen dat de reset op zichzelf een gevaarlijke situatie veroorzaakt.

Waar risico en kosten echt toenemen

De meeste ontwerpfouten ontstaan niet daar waar de machine na activering van de E-STOP simpelweg stilstaat, maar daar waar de stop plaatsvindt in een tussentoestand. Dat geldt vooral voor productie- en technologische lijnen, robotcellen, systemen met klemkracht, meerassige aandrijvingen en circuits met opgeslagen energie in pneumatiek, hydrauliek of mechanische elementen. In zulke systemen betekent het wegnemen van de oorzaak van de stop nog niet dat veilig naar bedrijf kan worden teruggekeerd.

Een product kan bekneld blijven zitten, een as kan buiten de veilige positie tot stilstand komen, een grijper kan het werkstuk nog steeds vasthouden en druk of koppel kunnen nog steeds op het mechanisme inwerken. In zo’n situatie gaat de keuze tussen handmatige en automatische reset niet over het gemak van de operator, maar over de vraag welke machinetoestand daadwerkelijk ontstaat na het vrijgeven van de E-STOP en of de mens die toestand correct interpreteert.

Vanuit ontwerpoogpunt zijn tussenoplossingen het gevaarlijkst. Formeel starten zij de cyclus niet, maar feitelijk herstellen zij wel het vermogen van de machine om een beweging uit te voeren of veroorzaken zij een hulpbeweging. Een automatische reset is verleidelijk waar beschikbaarheid en een snelle terugkeer naar productie tellen, maar na het vrijgeven van de E-STOP kan de besturing de gereedheid van de aandrijvingen herstellen, uitgangen activeren, druk terugbrengen of remmen vrijgeven. De operator ziet de machine dan nog steeds als gestopt, terwijl zij vanuit het oogpunt van energie en besturingslogica niet meer passief is.

Juist dit soort halfautomatische gedragingen leidt het vaakst tot discussies bij de acceptatie. De machine start niet vanzelf een volledige cyclus, maar krijgt wel weer energie, klemt een onderdeel vast, rijdt naar de referentiepositie of activeert een hulpfunctie. Vanuit ontwerpoogpunt zijn dit geen details van de interface, maar beslissingen over de grens tussen toelaatbaar herstel van gereedheid en ontoelaatbare hervatting van de werking.

In de praktijk is dit probleem meestal van gemengde aard, omdat het zowel veiligheid als werkorganisatie raakt. Een handmatige reset verlaagt het risico op onverwacht herstarten, maar veroorzaakt bij een slecht ontwerp al snel eigen kosten. Als de resetknop buiten het zicht op de zone is geplaatst, extra loopafstand vraagt of niet duidelijk is gescheiden van het ontgrendelen van de E-STOP en van het startcommando, gaat de bediening de procedure als een hinderpaal zien. Dan ontstaan omwegen, interventies van de technische dienst, aanpassingen in de instructies en extra trainingen. Als de gebruiker het verschil tussen het ontgrendelen van de paddenstoelknop, het resetten van het veiligheidscircuit en het opnieuw starten van het proces niet eenduidig kan herkennen, ligt het probleem niet alleen in de normtekst, maar in de volledige bedieningsarchitectuur, inclusief HMI-meldingen en de indeling in machinezones.

Een goed voorbeeld is een cel met een transportband en een pneumatische grijper. Na activering van de E-STOP stopt de transporteur, blijft de grijper in een tussenpositie staan en wordt het werkstuk niet neergelegd. Na het vrijgeven van de E-STOP herstelt de besturing de pneumatische voeding, omdat er geen aparte logica is voor het veilig ontlasten van het systeem. Formeel is er geen startcommando gegeven, maar de cilinder krijgt weer energie en het uitvoerelement maakt een korte, onverwachte beweging die uitsluitend voortkomt uit de terugkeer van de druk. Zo’n situatie is tijdens tests vaak lastig te reproduceren, maar tast het vertrouwen van de gebruiker in de machine zeer snel aan.

De gevolgen gaan verder dan alleen het risico op letsel. Er volgen interventies van de technische dienst, een langere oplevering, programma-aanpassingen, aanvullingen met uitzonderingen in de instructies en discussies over de vraag of na een E-STOP de druk of het aandrijfkoppel moet worden afgebouwd, of dat alleen verdere bewegingscommando’s moeten worden geblokkeerd. Vergelijkbare problemen doen zich voor bij automatisch refereren na een stop en bij een centraal E-STOP-circuit dat zones met verschillend zicht en verschillende gevolgen van energieterugkeer omvat.

In dit stadium helpt de verwijzing naar PN‑EN ISO 13850 en de eisen voor de noodstop om orde te scheppen. Het enkele feit dat na het vrijgeven van de E-STOP geen volledige start van de cyclus volgt, bepaalt nog niet of de oplossing aanvaardbaar is. Er moet worden beoordeeld of de terugkeer van energie, het herstellen van de aandrijfgereedheid, het aangrijpen van de grijper, het lichten van de rem van een as of de beweging naar de referentiepositie geen gevaarlijke of voor de operator misleidende toestand veroorzaakt. Daarom moet in de praktijk niet alleen naar het resetsignaal worden gekeken, maar naar de volledige sequentie.

Hoe neem je een ontwerpbeslissing

Een beslissing over reset na activering van de noodstop begint bij voorkeur met een beschrijving van de machinetoestanden, en niet met de vraag naar bedieningsgemak. Er moet eenduidig worden vastgelegd wat er gebeurt na het indrukken van de E-STOP en na het ontgrendelen ervan: welke energietrajecten worden afgeschakeld, welke blijven gevoed, of de aandrijvingen weer gereed komen, of assen worden ontremd, of cilinders hun beweging kunnen afmaken onder invloed van restdruk, zwaartekracht of veerenergie, en of er na het herstellen van de gereedheid enige automatische sequentie bestaat.

Pas op basis daarvan kan worden beantwoord of het enkele vrijgeven van de paddenstoelknop vanuit veiligheidsoogpunt neutraal is, of al een toestandsverandering vormt die mensen in gevaar kan brengen. Als het ontgrendelen van de E-STOP de energie herstelt op een manier waarvan de operator de gevolgen niet volledig kan overzien, of die de positie van uitvoerelementen kan veranderen, dan is een handmatige reset het uitgangspunt. Als het ontgrendelen daarentegen geen beweging veroorzaakt, geen gevaarlijke energie herstelt en geen enkele sequentie start, kan een automatische terugkeer naar de gereedtoestand worden overwogen, maar alleen als het verdere opstarten van het proces een afzonderlijk en eenduidig commando vereist.

In de praktijk helpt het om drie handelingen te scheiden die te vaak in één signaal of één bedieningsmelding worden samengevoegd. Het ontgrendelen van de noodstopvoorziening is een mechanische handeling en betekent alleen dat de knop is teruggekeerd naar de gereedstand. Het resetten van de veiligheidsfunctie is een afzonderlijke bevestiging dat de veiligheidsvoorwaarden opnieuw als vervuld mogen worden beschouwd. Het starten van het proces is weer iets anders: de beslissing om een beweging te beginnen of een cyclus te hervatten.

Als deze niveaus door elkaar lopen, begrijpt de gebruiker niet meer of het vrijgeven van de E-STOP al iets in gang zet of alleen de blokkering opheft, en verliest het projectteam de mogelijkheid om de gekozen logica tijdens de conformiteitsbeoordeling te onderbouwen. Om dezelfde reden is de locatie van de resetknop een ontwerpkwestie en geen cosmetisch detail. De persoon die de reset uitvoert, moet de zone waarvoor de gereedheid wordt hersteld kunnen beoordelen, of het systeem moet een andere betrouwbare methode bieden om de toestand te bevestigen.

In complexere lijnen kan dit een lokale reset voor de betreffende zone betekenen, terwijl de rest van de installatie gereed blijft, maar alleen als de zonegrenzen, de afhankelijkheden tussen aandrijvingen en de gevolgen van het herstellen van energie duidelijk zijn gedefinieerd. Zo’n beslissing moet voortkomen uit een functieanalyse, niet uit de wens om de bediening te vereenvoudigen.

Een goede beslisproef is een beschrijving van de sequentie, niet alleen van het elektrische schema. Het team moet enkele controlevragen kunnen beantwoorden:

• keert na het vrijgeven van de E-STOP energie of uitvoeringsgereedheid terug op een manier die voor de machine merkbaar is,
• kan er enige beweging optreden zonder een afzonderlijk startcommando,
• kan de persoon die de reset uitvoert de volledige zone overzien en de aanwezigheid van een persoon en een tussenstatus van het proces uitsluiten.

Als op een van deze vragen het antwoord niet ondubbelzinnig veilig is, dan is automatische terugkeer moeilijk te verantwoorden. Dat geldt vooral voor systemen waarin het werkstuk na stilstand in de klem blijft, de cilinder in een tussenpositie is gestopt, een as door koppel op positie wordt gehouden en het wegvallen van de vergrendeling kan leiden tot zakken of verplaatsing. In zulke gevallen is een handmatige reset geen formaliteit, maar een bewuste controle van de situatie voordat de installatie weer gereed wordt gemaakt.

Omgekeerd kan automatische terugkeer juist stilstand beperken zonder het veiligheidsniveau te verlagen wanneer het systeem na het ontgrendelen van de E-STOP passief blijft en beweging alleen kan starten door een afzonderlijke handeling van de operator of door een bovenliggende sequentie. Een voorbeeld is een werkplek met een afgeschermde werkzone en een aandrijving die na E-STOP geen beweging meer kan uitvoeren, maar na ontgrendeling de stuurspanning en de gereedstatus terugkrijgt zonder enige as- of cilinderbeweging. Dezelfde instelling in de besturing wordt echter twijfelachtig bij een transfermachine, waar het vrijgeven van de E-STOP een as ontremt, de druk naar de ventielen herstelt of het mogelijk maakt een onderbroken sequentiestap af te ronden.

Daarom moet deze beslissing niet alleen in de code worden vastgelegd, maar ook in de projectdocumentatie: in schema’s, de toestandsmatrix, de beschrijving van de herstartsequentie, HMI-meldingen, procedures voor het verhelpen van blokkades en scenario’s voor afnametests. Als deze logica niet in één samenhangende beschrijving aan de gebruiker kan worden uitgelegd — wat het vrijgeven van de E-STOP doet, wat de reset doet en wat het proces start — dan is dat meestal een teken dat de functieverdeling onjuist of te complex is.

Eerst de praktijk, daarna de normatieve verwijzing

In de praktijk wordt de resetmethode na activering van de noodstop niet bepaald door de naam van de functie, maar door het antwoord op een eenvoudige vraag: wat gebeurt er precies met de machine na het ontgrendelen van de paddenstoelknop en is die toestand ondubbelzinnig veilig. Dat is een ontwerpbeslissing, geen gebruikersvoorkeur en ook geen denksjabloon dat uit een eerdere realisatie is overgenomen.

Het team moet de volledige keten van gebeurtenissen kunnen beschrijven: stoppen, energie afbouwen tot het niveau dat uit de risicobeoordeling volgt, het apparaat ontgrendelen, de functie resetten, gereedheid bevestigen en pas daarna opnieuw opstarten. Als een van deze stappen samenvalt met een andere of afhangt van het standaardgedrag van de besturing, ontstaat er ruimte voor discussies bij de oplevering en voor bedieningsfouten die later niet meer met alleen een handleiding zijn te corrigeren.

Dat wordt goed zichtbaar bij de aanpassing van machines aan de minimale eisen van een bestaande cel, waar de gebruiker kortere stilstanden verwacht na het verhelpen van kleine storingen en de integrator automatische terugkeer na het vrijgeven van de E-STOP voorstelt om de bediening te vereenvoudigen. Op het niveau van de algemene beschrijving lijkt die oplossing logisch: de operator neemt de oorzaak van de stop weg, ontgrendelt het apparaat en de machine keert terug naar gereedheid zonder extra resetknop. Het probleem wordt pas zichtbaar in een tussenstatus.

Als na het herstellen van het werkmedium een cilinder weer druk krijgt in een positie waarin hij een slag, aanloopbeweging of ontlasting van de grijper kan uitvoeren zonder nieuwe intentie van de operator, dan is terugkeer naar gereedheid geen neutrale logische toestand meer. In werkelijkheid wordt het dan een onderdeel van de procesbeweging, alleen onder een andere naam. Zo’n geval vraagt meestal niet om een kleine programma-aanpassing, maar om een herziening van de functiearchitectuur: ontgrendeling scheiden van reset, gereedheid expliciet laten bevestigen of de sequentie voor ontluchten en opnieuw energietoevoer aanpassen.

Dit voorbeeld laat ook zien welk projectbewijs van belang is. Een verklaring dat er na vrijgave niets start, is niet voldoende als tijdens de afnametests het gedrag van aandrijvingen, ventielen, remmen en sequentiestappen niet precies op het moment van het ontgrendelen van de E-STOP is gecontroleerd. In de technische documentatie van machines moet een vastlegging bestaan van de risicoanalyse voor dit scenario, een beschrijving van de toestanden op de HMI, een testscenario na het vrijgeven van de noodstop en een duidelijke bevestiging door de gebruiker van de overeengekomen herstartlogica. Juist in deze documenten wordt later de samenhang van de oplossing beoordeeld: bij de machineafname, bij het actualiseren van procedures voor toegang tot de zone of LOTO-procedures, bij uitzonderingen voor instel- en servicemodus en, in geval van een incident, ook bij de beoordeling of de operator het gedrag van het systeem kon voorzien.

Pas tegen die achtergrond is een verwijzing naar CE-certificering van machines zinvol. De norm ordent de rol van de noodstop: die moet dienen om een gevaarlijk proces te stoppen of de gevolgen van een gevaar te beperken, en het ontgrendelen van het apparaat mag op zichzelf geen nieuwe gevaarlijke toestand creëren. Voor de ontwerper is de praktische conclusie eenvoudig: het enkel terugbrengen van het E-STOP-apparaat naar de ontgrendelde stand mag geen vervanging zijn voor de bewuste handeling die volgens het veiligheidsconcept van de machine vereist is.

In de Poolse en Europese praktijk gaat het echter niet alleen om logische overeenstemming met de norm. Minstens zo belangrijk is dat de volledige oplossing consistent is met de technische documentatie in overeenstemming met de Machinerichtlijn, de gebruiksinstructie, de resultaten van de risicobeoordeling en, na modernisering, met de omvang van de actualisering van de validatie van veiligheidsfuncties. Dat zijn de elementen die later in de relatie tussen leverancier en gebruiker worden beoordeeld, en niet één enkele regel in het programma van de besturing.

De praktische conclusie is helder. Als de ontwerper niet kan aantonen wat er gebeurt na het loslaten van de E-STOP, welke energieën terugkeren, welke onderdelen van positie kunnen veranderen en waarom die toestand veilig is, dan moeten er geen procedurele uitzonderingen worden toegevoegd zoals “de operator mag dan niet in de zone staan”. Dan moet worden teruggegaan naar de functies, de sequentie en de verdeling van verantwoordelijkheden tussen vrijgave, reset en herstart. Pas een oplossing die verdedigbaar is in het schema, bij acceptatietests, in de handleiding en in de risicobeoordeling, kan als technisch volwassen worden beschouwd.