STO, SS1 of SS2 – hoe u een machine veilig stilzet

Een veilige machinestop is een van de belangrijkste onderdelen van functionele veiligheid in de industrie. De automatiseringsingenieur staat vaak voor de vraag: is het voldoende om simpelweg de voeding af te schakelen, is gecontroleerd afremmen beter, of moeten we de aandrijving juist onder spanning houden? In de praktijk komt het neer op het kiezen van de juiste stopfunctie: Safe Torque Off (STO), Safe Stop 1 (SS1) of Safe Stop 2 (SS2). In dit artikel leggen we stap voor stap uit hoe deze functies werken, wanneer je welke toepast en waar je op moet letten bij het ontwerpen van het veiligheidsysteem van een machine. Dit alles gebaseerd op normen en goede praktijken – maar praktisch en technisch uitgelegd, zodat het niet zo droog leest als een handleiding.

Veilige machinestop stap voor stap

Voordat we in de details van STO, SS1 en SS2 duiken, is het goed om de categorieën van veilige stop te begrijpen zoals die in normen zijn gedefinieerd. De norm NEN-EN-ISO 60204-1 onderscheidt drie scenario’s (categorieën) van stoppen, die overeenkomen met onze veiligheidsfuncties:

1. Categorie 0 (STO) – noodstop door de aandrijving direct spanningsloos te maken, zonder gecontroleerd afremmen. Dit is de snelste manier om een machine tot stilstand te brengen en komt overeen met het klassieke indrukken van de noodstopknop. Het is helaas een ongecontroleerde stop – het beschermt mechanismen niet tegen de gevolgen van een abrupte stilstand. Daardoor kan het te ruw zijn voor gevoelige machines en kan het ook leiden tot langere herstarttijden van de installatie.
2. Categorie 1 (SS1) – een gecontroleerde stop, waarbij het systeem de machine eerst actief afremt en pas wanneer de beweging is gestopt de voeding uitschakelt (door over te gaan naar STO). Met andere woorden: de motor wordt onder controle van de aandrijving afgeremd, waarna het koppel veilig wordt uitgeschakeld. Deze aanpak minimaliseert schokken en laat de beweging op een meer beheerste manier stoppen. Het kost wel even tijd om af te remmen, maar vermindert het risico op mechanische schade. Typische toepassing: situaties waarin veiligheid vraagt om het vertragen van de beweging in plaats van direct afschakelen – bijvoorbeeld productielijnen met kwetsbare onderdelen, waar een plotselinge stop het product zou kunnen beschadigen.
3. Categorie 2 (SS2) – een gecontroleerde stop met koppelbehoud na het stoppen. In dit geval wordt na het afremmen van de motor de voeding niet afgeschakeld, maar gaat de aandrijving over naar een toestand waarin een veilige stilstand wordt vastgehouden (functie SOS – Safe Operating Stop). De motor blijft onder spanning en houdt de positie actief vast, zodat elke beweging wordt voorkomen. Deze oplossing is noodzakelijk waar na het stoppen positieborging vereist is – bijvoorbeeld bij industriële liften of machines met hangende delen (zodat de last niet gaat zakken). Een voordeel van categorie 2 is ook dat het werk snel kan worden hervat, omdat de aandrijving in gereedheid blijft.

Deze indeling maakt het mogelijk om de stopmethode af te stemmen op de machine en de risico’s. Een kleine transportband stop je anders dan een zware bovenloopkraan met grote traagheid. Belangrijk is dat de risicoanalyse in de ontwerpfase aangeeft welk stopscenario de veiligheid van mensen en apparatuur waarborgt. Houd er ook rekening mee dat volgens de voorschriften de noodstop (E-STOP) van een machine in categorie 0 of 1 moet worden uitgevoerd – dus als STO of SS1. Categorie 2 (SS2), waarbij de voeding onder spanning blijft, is niet bedoeld voor de typische noodstopknop, omdat we bij levensreddende situaties alle energiebronnen maximaal willen reduceren. SS2 wordt wél toegepast in andere stopmodi, waar we zo op terugkomen.

Hoe werkt de functie Safe Torque Off (STO)

Safe Torque Off (STO) is de eenvoudigste en meest basale functie voor een veilige stop. De werking bestaat uit het direct onderbreken van de energie naar de motor – bijvoorbeeld door de uitgangsspanning van de frequentieregelaar af te schakelen of door contactoren in het voedingscircuit te openen. Daardoor houdt de motor op met het leveren van koppel (of kracht, bij lineaire actuatoren). Met andere woorden: de aandrijving kan de bewegende delen van de machine niet langer aandrijven. STO komt dus overeen met een ongecontroleerde stop in categorie 0, zoals eerder beschreven.

Belangrijk om te benadrukken: STO remt de motor niet actief af – de aandrijving loopt simpelweg vrij uit totdat wrijving en bewegingsweerstanden hem tot stilstand brengen. Daarom hangt de stoptijd bij STO af van de traagheid van het systeem. Bij machines met lage inertie en hoge weerstand (bijv. een kleine motor met een wormwielreductor) stopt de beweging vrijwel direct. Maar bij een snel draaiende spindel of een zware rotor met grote massa kan die na het uitschakelen van de voeding nog een tijd blijven doordraaien. STO werkt dus het best waar geen onmiddellijke stop van de volledige aandrijving vereist is – de natuurlijke weerstandskrachten zijn dan voldoende om de machine binnen een acceptabele tijd af te remmen.

Het voordeel van STO is de eenvoud en hoge betrouwbaarheid. Het is tegenwoordig een functie die praktisch in elke moderne frequentieregelaar of servoversterker is ingebouwd. Ze voldoet aan strenge normeisen (vaak SIL 2 of SIL 3, PL d/e) en kan daardoor klassieke contactoren die de voeding afschakelen vervangen. Met STO kunnen we onverwachte starts van de motor voorkomen – deze functie is een basisbescherming tegen ongecontroleerde beweging na het uitschakelen van de machine. De noodstopknop activeert meestal juist STO, waardoor de energie wordt afgeschakeld en de aandrijving op de eenvoudigst mogelijke manier wordt stilgezet.

Beperkingen? Omdat STO het afremmen niet regelt, beschermt het niet tegen de gevolgen van traagheid. Als we bijvoorbeeld een transportband vol goederen stoppen door alleen de voeding af te schakelen, kunnen de goederen er door hun impuls nog vanaf schuiven. Bij verticale assen (bijv. een bovenloopkraan, lift) kan STO alleen zelfs gevaarlijk zijn – het wegnemen van het koppel kan ertoe leiden dat een hangende last door de zwaartekracht zakt. Daarom moet STO in bepaalde toepassingen worden aangevuld met extra maatregelen, zoals mechanische remmen die de beweging stoppen. Dan wordt de functie SBC (Safe Brake Control) toegepast, die samen met STO de mechanische rem op de motor of as veilig aantrekt. Zo’n oplossing is standaard bij bijvoorbeeld de genoemde kranen of liften: direct na het wegnemen van het koppel via STO houdt de rem de last op zijn plaats.

Samengevat: STO schakelt het koppel onmiddellijk uit en voorkomt dat de motor nog kracht kan leveren. Dit is een snelle noodstop van categorie 0, ideaal wanneer elke seconde telt om de energie af te schakelen. Wel moet je zeker weten dat het uitlopen van de machine geen gevaar oplevert – en als dat wel zo is, STO aanvullen met remmen of kiezen voor SS1.

Safe Stop 1 (SS1) – gecontroleerd afremmen tot stilstand

Wanneer een gecontroleerde stop van de machine nodig is, biedt Safe Stop 1 (SS1) uitkomst. De SS1-functie realiseert een tweefasige stop. In de eerste fase remt de aandrijving de motor actief af – ze beperkt de snelheid volgens een ingestelde afremramp of bewaakt de remtijd. Zodra de snelheid bijna nul is, start de tweede fase: automatisch omschakelen naar STO (veilig koppel uitschakelen) en eventueel het aanspreken van de mechanische rem (SBC) om de as volledig te vergrendelen. Met andere woorden: SS1 voert eerst de bewegingsenergie gecontroleerd af en schakelt daarna de energie uit zoals bij STO.

Deze modus komt overeen met een stop van categorie 1 volgens de norm – dus gecontroleerd afremmen + uitschakelen van de voeding. SS1 wordt aanbevolen wanneer een zo snel mogelijke, maar ook gecontroleerde stop van de machine vereist is. Typische situatie: het apparaat werkt met hoge snelheid of heeft een aanzienlijke traagheid. Een abrupte afschakeling van de voeding (STO) leidt dan tot lang uitlopen of tot een sterke mechanische schok bij een plotselinge stop. In plaats daarvan remt SS1 dynamisch met de motor – wat vaak sneller stopt dan alleen door wrijving – en doet dit bovendien bewaakt, dus veilig voor de mechanica.

Voorbeelden? Cirkelzagen, slijpmachines, centrifuges, mechanische persen – in het algemeen moeten machines met veel roterende energie met SS1 worden gestopt. Denk aan een grote lintzaag: het indrukken van STOP zorgt ervoor dat de frequentieregelaar een afremramp inzet en het toerental van de zaag snel afbouwt. Zodra de zaag stilstaat, wordt het koppel uitgeschakeld (STO) en blijft de machine veilig geblokkeerd. Daardoor is de stop veel sneller dan wachten tot de zaag vanzelf uitloopt, terwijl er tegelijk geen risico is op schade aan de aandrijving of het materiaal door een plotselinge ruk – het afremmen staat volledig onder controle van het systeem.

Goed om te weten: de norm NEN-EN-ISO 61800-5-2 laat verschillende manieren toe om SS1 te realiseren. Aandrijffabrikanten bieden bijvoorbeeld de variant SS1-r (ramp monitoring) – waarbij het systeem de afremramp bewaakt en STO inschakelt zodra de snelheid onder een vastgelegde drempel komt – of SS1-t (time controlled), waarbij STO na een vastgelegde tijd wordt geactiveerd, ongeacht de snelheid. Ongeacht de implementatie is het doel hetzelfde: de beweging zo snel stoppen als veilig mogelijk is en aan het einde de energie uitschakelen. SS1 vereist doorgaans geavanceerdere besturing (bijv. een veiligheidsmodule in de frequentieregelaar of een safety PLC), maar de meeste moderne aandrijvingen hebben deze functies inmiddels standaard of als optie.

Trouwens: SS1 is een veelgekozen oplossing om een noodstop categorie 1 te realiseren – bijvoorbeeld het indrukken van de paddenstoelknop, waarna de machine gecontroleerd moet afremmen in plaats van dat de voeding meteen wegvalt. Zo’n noodstop met gecontroleerd afremmen is vereist wanneer het direct afschakelen van de voeding het risico juist kan vergroten (bijv. doordat materiaal uit een snel draaiende trommel kan worden geslingerd). In de praktijk wordt dit zo geïmplementeerd dat na het indrukken van de E-STOP de veiligheidscontroller een remcommando naar de frequentieregelaar stuurt (SS1-ramp), en als de snelheid binnen een vastgestelde tijd niet tot nul daalt, dan wordt voor de zekerheid alsnog de voeding afgeschakeld. Dit hangt samen met het feit dat de noodstop altijd moet werken, ook als het afremmen faalt. De ontwerper van het veiligheidssysteem moet met zo’n scenario rekening houden.

Safe Stop 2 (SS2) – stoppen met positiebehoud

Dan blijft de derde functie over: Safe Stop 2 (SS2). SS2 is in zekere zin een uitbreiding van SS1. Ook hier gaat het om stoppen in twee fasen (afremmen + veilige stilstand), maar het verschil is dat we na het stoppen van de motor de voeding niet afschakelen. In plaats van over te gaan naar STO, houdt de aandrijving actief koppel op de motor bij nul snelheid, met behulp van de functie SOS (Safe Operating Stop). Met andere woorden: de motor wordt veilig in een bepaalde positie stilgezet en die positie wordt continu bewaakt en vastgehouden door de besturing. Zo’n veilige stilstand onder spanning komt overeen met een gecontroleerde stop categorie 2, waar eerder over is gesproken.

Wat levert dat op? Vooral: een snelle herstart van de machine. Omdat de motor continu bekrachtigd blijft (weliswaar bij nul snelheid), kan de beweging direct worden hervat zonder extra procedures. Ter vergelijking: na SS1 (categorie 1) gaat het systeem over naar STO, dus om weer te kunnen starten moet je eerst de voeding van de aandrijving opnieuw vrijgeven, wat tijd kan kosten (reset van het veiligheidssysteem e.d.). SS2 neemt die vertraging weg – de beweging kan praktisch meteen worden vrijgegeven zodra de veiligheidsvoorwaarden dat toelaten.

SS2 passen we toe waar de machine of een deel ervan slechts kort stil moet staan en we snel weer willen hervatten, of waar een stand-by stilstand nodig is om direct verder te kunnen werken. Dat volgt vaak uit de aard van het proces of uit de behoefte aan regelmatige, korte ingrepen door de operator. Een voorbeeld is een productielijn waarbij de operator af en toe moet langskomen om iets schoon te maken, een sensor af te stellen of een fout product te verwijderen. In plaats van de hele machine uit te schakelen (en daarna omslachtig weer op te starten), kun je SS2 gebruiken: de lijn stopt gecontroleerd en blijft in veilige stilstand, de operator doet zijn werk een minuut lang en laat de machine daarna weer doorlopen zonder volledige herstart. Een ander voorbeeld is het kalibreren van een visionsysteem op een machine: je stopt de transportband op een exact bepaalde positie, terwijl de camera ingeschakeld blijft en na de afstelling direct weer klaar is voor gebruik.

In toepassingen zoals robotica of assemblage wordt SS2 soms gebruikt voor een zogeheten stand-by stop: de robot stopt in een bepaalde positie en houdt die vast (bijv. met het gereedschap boven het werkstuk) tijdens een korte onderbreking, en gaat daarna verder zonder dat herkalibratie nodig is. Belangrijk is wel om te onthouden dat de installatie onder spanning blijft staan – daarom wordt SS2 niet gebruikt voor een noodstop, maar voor gecontroleerde stops bij geplande onderbrekingen of servicemodi. Normen vereisen duidelijk dat in een noodsituatie de voeding wél moet worden afgeschakeld (STO of SS1).

Technisch gezien vraagt de implementatie van SS2 dat de aandrijving snelheids- en positiemonitoring (SOS) ondersteunt en gecertificeerd is om koppel vast te houden in stilstand. Veel moderne aandrijvingen kunnen dit – bijvoorbeeld servodrives met veiligheidsmodules kunnen zelf detecteren of de motor stilstaat en hem veilig in de gewenste positie houden. Als er een risico is dat de last toch gaat bewegen (bijv. door zwaartekracht op een verticale as), dan wordt er meestal alsnog een mechanische rem toegepast voor maximale zekerheid. SS2 ontslaat ons niet van nadenken over de fysica: het feit dat er stroom door de motor loopt om hem op positie te houden, is niet altijd voldoende bij bijvoorbeeld een ernstige storing. Meestal gaat het tijdens korte stilstanden echter goed, en win je aan continuïteit van het proces.

Is SS1 voldoende in toepassingen met grote inertie?

Tijd om de vraag te beantwoorden die veel ontwerpers bezighoudt: is SS1 in systemen met grote inertie voldoende, of is er meer nodig? Grote inertie (traagheid) betekent dat de machine veel kinetische energie opslaat – en dus lastiger snel tot stilstand te brengen is. Intuïtief voelt het alsof alleen STO niet genoeg zou zijn, omdat zware delen nog lang zouden uitlopen. SS1 lijkt dan het minimum om de aandrijving actief af te remmen. En inderdaad: in de meeste gevallen is SS1 de gouden standaard voor machines met grote inertie – het zorgt voor de snelste stop, omdat de aandrijving als rem werkt. De eerder genoemde voorbeelden (zagen, centrifuges, persen) zijn precies machines met veel roterende massa, waar SS1 zelfs onmisbaar is.

Maar is SS1 altijd voldoende? Dat hangt af van de omstandigheden. SS1 garandeert dat de beweging tot stilstand komt, maar na het afremmen wordt de voeding afgeschakeld (STO). Als onze toepassing alleen een zwaar mechanisme moet stoppen en vervolgens moet wachten tot de operator een onderdeel verwijdert of grondstof bijvult, dan zal SS1 waarschijnlijk volledig volstaan – de machine komt veilig tot stilstand en het afschakelen van het vermogen voorkomt onaangename verrassingen. We moeten er dan wel voor zorgen dat de aandrijving en de bijbehorende componenten geschikt zijn om de remenergie te absorberen (bijv. passende remweerstanden in de frequentieregelaar, zodat die niet beschadigt bij het dissiperen van veel energie). De ontwerper van industriële automatisering moet verifiëren of de frequentieregelaar/servoaandrijving voldoende remvermogen heeft voor de betreffende traagheid – een veelgemaakte fout is dat de veiligheidsfunctie wel werkt, maar dat de aandrijving een overbelastingsfout geeft bij het afremmen van een zwaar vliegwiel.

Een tweede punt is wat er gebeurt na het stoppen. Als het systeem een grote traagheid heeft, maar in een stabiele positie tot stilstand komt (bijv. een horizontaal liggende rol die simpelweg stopt met draaien), dan is dat prima. Maar bij machines waarbij een grote massa door externe krachten (zoals zwaartekracht) kan gaan bewegen, is SS1 alleen mogelijk niet genoeg – want na de overgang naar STO kan de last alsnog in beweging komen. Voorbeeld: een grote transportband onder een hoek, met een grote massa aan band en product. We remmen hem af met de motor (SS1), maar zodra we het vermogen afschakelen bestaat het risico dat de zwaartekracht de band naar beneden laat lopen. In zulke situaties is het noodzakelijk om een mechanische bewegingsblokkering toe te voegen. Dat kan de eerder genoemde SBC-rem zijn, die bij het wegvallen van de voeding aantrekt en de positie vasthoudt. Zonder zo’n voorziening kom je niet ver – een puur elektrische functie wint het niet van de natuurkunde. Met andere woorden: SS1 moet worden aangevuld met mechanische maatregelen wanneer de toepassing dat vereist.

Of is SS2 beter bij grote traagheid? SS2 houdt immers koppel vast, dus er is geen risico dat een last “loslaat”. Dat klopt: SS2 zorgt na het stoppen voor actief vasthouden van de positie, wat bijvoorbeeld gunstig is bij verticale assen met belasting. In de meeste gevallen wordt daar echter alsnog een mechanische rem toegepast als extra beveiliging. SS2 is vooral nuttig wanneer een snelle herstart belangrijk is – dus als dat zware systeem vaak vanuit stilstand moet starten en we niet telkens de aandrijving willen resetten. Grote traagheid op zichzelf dwingt SS2 niet af; wat het wél afdwingt is gecontroleerd remmen – en dat levert SS1 al. Samengevat: bij machines met grote traagheid is SS1 met een goed ontworpen remconcept meestal volledig toereikend, mits we extra remmen voorzien op assen die uit zichzelf zouden kunnen gaan bewegen. SS2 kan worden toegevoegd als de winst van sneller herstarten voor ons relevant is, of als een stop in “stand-by” vereist is (maar dat zijn procesmatige eisen, niet enkel een gevolg van de traagheid).

STO, SS1 en SS2 zijn drie verschillende antwoorden op de vraag hoe je een machine veilig tot stilstand brengt. Elk van deze functies heeft zijn plek in het arsenaal van de automatiseringsingenieur. STO schakelt de energie onmiddellijk af – eenvoudig en betrouwbaar, maar met de mogelijkheid dat de machine doorloopt op haar kinetische energie. SS1 voegt gecontroleerd remmen toe, waardoor de stop sneller is en mechanisch minder belastend, en na het stoppen is de machine spanningsloos. SS2 stopt op zijn beurt net zo snel als SS1, maar houdt de machine onder spanning “in bedwang”, klaar om in een oogwenk weer te starten.

Bij het ontwerpen van veilige besturingssystemen is het verstandig om je te laten leiden door zowel normen (NEN-EN-ISO 61800-5-2 beschrijft deze functies nauwkeurig) als door gezond verstand en een risicoanalyse. Documenten geven aan wat juridisch vereist is, maar wij – als integrators van industriële automatisering – moeten de oplossing afstemmen op de specifieke machine. Soms is het eenvoudigste STO het beste (minder onderdelen die kunnen falen!), en soms kun je niet om SS1 heen, omdat de apparatuur anders bij een noodstop uit elkaar zou kunnen lopen. In andere situaties waarderen we SS2, omdat het stilstand beperkt en het mogelijk maakt de werkcyclus snel te hervatten.

Tot slot: geen van deze functies verricht wonderen als je ze verkeerd ontwerpt of buiten hun bedoelde toepassing gebruikt. Je moet zorgen voor de juiste componenten (frequentieregelaars met STO/SS1/SS2-certificering, sensoren, veiligheidscontrollers), een correcte configuratie en regelmatige tests. Het is ook zinvol om trainingen over normen en standaarden te overwegen (bijv. Machinerichtlijn 2006/42/EC, NEN-EN-ISO ISO 13849-1, NEN-EN-ISO 62061), omdat kennis van regelgeving hand in hand gaat met engineeringpraktijk. We hopen dat dit artikel wat meer duidelijkheid heeft gegeven in het dilemma STO vs SS1 vs SS2. De volgende keer dat je een veilige stop van een machine moet ontwerpen, kun je bewust de beste optie kiezen – en vooral: maximale veiligheid waarborgen zonder concessies aan het proces. Veel succes met je projecten en altijd veilig werken!