Proiectarea circuitelor E-STOP conform ISO 13850 – când se folosește resetarea manuală și când cea automată?

Dacă după acționarea opririi de urgență se aplică resetare manuală sau automată este o decizie care, ideal, se ia încă din etapa de concept. Mai târziu, această alegere nu mai este o simplă setare în program, ci începe să influențeze simultan arhitectura sistemului de comandă, comportamentul acționărilor și al mediilor, testele de recepție, instrucțiunile de utilizare și modul de gestionare a perturbațiilor. În practică, nu este vorba doar despre alegerea tipului de resetare, ci despre starea în care ajunge mașina după deblocarea E-STOP și dacă această stare este sigură fără o acțiune suplimentară, conștientă, din partea omului.

Resetarea nu este un detaliu

Întrebarea privind resetarea după E-STOP apare foarte des prea târziu. Când logica mașinii este deja definitivată, secvențele procesului sunt deja scrise, iar sistemul de comandă are ipoteze asumate privind stările acționărilor și semnalelor după dispariția funcției de siguranță, schimbarea modului de resetare nu mai este o simplă corecție. Ea începe să influențeze programul controlerului, funcțiile de siguranță din automatizările industriale, testele funcționale, documentația și condițiile de recepție. De aceea, modul de acțiune după declanșarea opririi de urgență nu ar trebui să rezulte nici din obișnuințele proiectantului, nici din presiunea de a scurta timpul de oprire.

Este o decizie de arhitectură. Ea trebuie corelată cu răspunsul la două întrebări: ce stare trebuie să atingă mașina după deblocarea dispozitivului de oprire de urgență și dacă această stare este exclusiv o stare sigură sau deja o stare de pregătire pentru mișcare. Tocmai aici apare cel mai des eroarea. Nu constă în alegerea resetării manuale sau automate ca atare, ci în faptul că echipa nu analizează dacă, după eliberarea E-STOP, mașina poate trece într-o stare la care operatorul nu se așteaptă.

Dacă eliberarea butonului nu duce doar la anularea funcției de oprire, ci și la restabilirea stării de pregătire a acționărilor, la realimentarea pneumaticii sau la revenirea logicii procesului la pasul din care mișcarea poate porni după un singur semnal de start, acest lucru nu poate fi evaluat exclusiv din perspectiva confortului. Trebuie analizate repornirea intenționată, prevenirea pornirii neașteptate și ergonomia operării: cine efectuează resetarea, din ce loc și dacă din acea poziție vede într-adevăr zona periculoasă.

Contează comportamentul întregului sistem după intervenție, nu doar butonul E-STOP în sine. Trebuie clarificat dacă acționările rămân deconectate, dacă servomotoarele revin în stare de pregătire după eliberare, dacă sistemul pneumatic se realimentează după depresurizare, dacă semnalele din controler sunt menținute și în ce ordine au loc confirmările și deblocările. O mașină care, după eliberarea opririi de urgență, rămâne imobilă și necesită o comandă separată, conștientă, de pornire se evaluează diferit față de una care revine la un pas intermediar al procesului și reface aproape automat condițiile pentru mișcare.

Aici apare cel mai important criteriu de proiectare: să nu se întrebe mai întâi ce este permis formal să se aplice, ci ce stare a mașinii va apărea efectiv după deblocarea E-STOP și dacă această stare este sigură fără o acțiune suplimentară din partea omului. Referința normativă ordonează această evaluare, dar nu o înlocuiește. Accentul nu cade pe confortul operării, ci pe faptul că resetarea să nu genereze prin ea însăși o situație periculoasă.

Unde cresc cu adevărat riscul și costul

Cele mai multe erori de proiectare nu apar acolo unde mașina pur și simplu stă după acționarea E-STOP, ci acolo unde oprirea are loc într-o stare intermediară. Acest lucru se aplică în special liniilor de ambalare, celulelor cu robot, sistemelor cu presare, acționărilor multiaxiale și circuitelor cu energie acumulată în pneumatică, hidraulică sau în elemente mecanice. În astfel de sisteme, eliminarea cauzei opririi nu înseamnă încă faptul că se poate reveni în siguranță la lucru.

Produsul poate rămâne blocat, o axă se poate opri în afara poziției sigure, dispozitivul de prindere poate ține în continuare piesa, iar presiunea sau cuplul pot continua să acționeze asupra mecanismului. Într-o asemenea situație, alegerea dintre resetare manuală și automată nu privește confortul operatorului, ci starea reală care se creează în mașină după eliberarea E-STOP și dacă omul o interpretează corect.

Din punctul de vedere al proiectării, cele mai periculoase sunt soluțiile intermediare. Formal, ele nu pornesc ciclul, dar în practică restabilesc capacitatea mașinii de a executa o mișcare sau provoacă o mișcare auxiliară. Resetarea automată este tentantă acolo unde contează disponibilitatea și revenirea rapidă la producție, însă după eliberarea E-STOP controlerul poate restabili starea de pregătire a acționărilor, poate arma ieșirile, poate readuce presiunea sau poate debloca frânele. În acel moment, operatorul vede mașina ca fiind încă oprită, deși din punctul de vedere al energiei și al logicii de comandă ea nu mai este pasivă.

Tocmai astfel de comportamente semiautomate duc cel mai des la dispute la recepție. Mașina nu pornește singură într-un ciclu complet, dar își recapătă energia, strânge un element, ajunge în poziția de bază sau activează o funcție auxiliară. Din punctul de vedere al proiectării, acestea nu sunt detalii de interfață, ci decizii privind limita dintre restabilirea admisibilă a stării de pregătire și reluarea inadmisibilă a funcționării.

În practică, problema are de obicei un caracter mixt, deoarece îmbină siguranța cu organizarea muncii. Resetarea manuală reduce riscul unei reporniri neașteptate, dar, dacă este proiectată necorespunzător, generează rapid propriile costuri. Dacă butonul de resetare este amplasat în afara câmpului vizual al zonei, necesită un acces suplimentar sau nu este separat clar de deblocarea E-STOP și de comanda de pornire, personalul începe să trateze procedura ca pe un obstacol. Atunci apar ocoliri ale procedurii, intervenții ale mentenanței, corecturi ale instrucțiunilor și instruiri suplimentare. Dacă utilizatorul nu poate distinge fără echivoc între deblocarea butonului tip ciupercă, resetarea circuitului de siguranță și repornirea procesului, problema nu ține exclusiv de conținutul standardului, ci de întreaga arhitectură de operare, inclusiv de mesajele HMI și de împărțirea pe zone a mașinii.

Un exemplu bun este o celulă cu transportor și dispozitiv de prindere pneumatic. După acționarea E-STOP, transportorul se oprește, dispozitivul de prindere rămâne într-o poziție intermediară, iar piesa nu este depusă. După eliberarea E-STOP, comanda restabilește alimentarea pneumatică, deoarece nu există o logică separată pentru descărcarea în siguranță a sistemului. Formal, nu a fost dată o comandă de pornire, dar cilindrul recapătă energie, iar elementul de execuție efectuează o mișcare scurtă, neașteptată, rezultată exclusiv din revenirea presiunii. Un astfel de caz este adesea dificil de reprodus în timpul probelor, dar distruge foarte repede încrederea utilizatorului în mașină.

Efectele depășesc simplul risc de accidentare. Apar intervenții ale mentenanței, recepția se prelungește, programul trebuie corectat, se adaugă excepții în instrucțiuni și apar dispute privind necesitatea evacuării presiunii sau a cuplului de acționare după E-STOP ori dacă este suficientă doar blocarea comenzilor ulterioare de mișcare. Probleme similare apar la referențierea automată după oprire, precum și în cazul unui circuit central E-STOP care acoperă zone cu vizibilitate diferită și cu efecte diferite la revenirea energiei.

În această etapă, raportarea la PN‑EN ISO 13850 și la cerințele pentru întrerupătorul de oprire de urgență are rolul de a ordona evaluarea. Simplul fapt că după eliberarea E-STOP nu are loc pornirea completă a ciclului nu stabilește încă dacă soluția este acceptabilă. Trebuie evaluat dacă revenirea energiei, restabilirea stării de pregătire a acționărilor, acționarea prinderii, deblocarea frânei axei sau mișcarea către poziția de referință nu creează o stare periculoasă ori confuză pentru operator. De aceea, în practică, trebuie analizată nu doar semnalizarea de resetare, ci întreaga secvență.

Cum se ia decizia de proiectare

Decizia privind resetarea după acționarea opririi de urgență merită începută de la descrierea stărilor mașinii, nu de la întrebarea legată de confortul operării. Trebuie descris clar ce se întâmplă după apăsarea E-STOP și după deblocarea acestuia: care trasee de energie sunt deconectate, care rămân alimentate, dacă revine starea de pregătire a acționărilor, dacă axele se deblochează, dacă cilindrii pot finaliza mișcarea sub efectul presiunii reziduale, al gravitației sau al energiei elastice și dacă, după restabilirea stării de pregătire, există vreo secvență automată.

Abia pe această bază se poate răspunde dacă simpla eliberare a butonului tip ciupercă este neutră din punctul de vedere al siguranței sau dacă reprezintă deja o schimbare de stare care poate expune o persoană la pericol. Dacă deblocarea E-STOP restabilește energia într-un mod ale cărui efecte operatorul nu le poate vedea complet sau care poate modifica poziția elementelor de execuție, punctul de plecare devine resetarea manuală. Dacă, în schimb, deblocarea nu provoacă mișcare, nu restabilește energie periculoasă și nu pornește nicio secvență, se poate lua în considerare revenirea automată la starea de pregătire, dar numai dacă pornirea ulterioară a procesului necesită o comandă separată și neechivocă.

În practică, ajută separarea a trei acțiuni care, prea des, sunt amestecate într-un singur semnal sau într-un singur mesaj pentru operator. Deblocarea dispozitivului de oprire de urgență este o acțiune mecanică și înseamnă doar că butonul a revenit în poziția de pregătire. Resetarea funcției de siguranță este o confirmare separată că condițiile de siguranță pot fi din nou considerate îndeplinite. Pornirea procesului este altceva: decizia de a începe mișcarea sau de a relua ciclul.

Dacă aceste niveluri se suprapun, utilizatorul nu mai înțelege dacă eliberarea E-STOP pune deja ceva în funcțiune sau doar elimină blocarea, iar echipa de proiect pierde posibilitatea de a susține logica adoptată în timpul evaluării conformității. Din același motiv, amplasarea butonului de resetare are importanță de proiectare, nu una cosmetică. Persoana care efectuează resetarea ar trebui să poată evalua zona pentru care restabilește starea de pregătire sau sistemul trebuie să asigure o altă metodă credibilă de confirmare a stării.

În linii mai complexe, acest lucru poate însemna resetare locală pentru zona respectivă, menținând în același timp starea de pregătire a restului instalației, dar numai dacă limitele zonelor, dependențele dintre acționări și efectele restabilirii energiei sunt definite clar. O astfel de decizie trebuie să rezulte din analiza funcțiilor de siguranță în automatizările industriale, nu din dorința de a simplifica operarea.

Un test bun pentru luarea deciziei este descrierea secvenței, nu doar a schemei electrice. Echipa ar trebui să poată răspunde la câteva întrebări de control:

• dacă după eliberarea E-STOP revine energia sau starea de pregătire a elementelor de execuție într-un mod perceptibil pentru mașină,
• dacă poate apărea vreo mișcare fără o comandă separată de pornire,
• dacă persoana care efectuează resetarea vede întreaga zonă și poate exclude prezența unei persoane, precum și starea intermediară a procesului.

Dacă la oricare dintre aceste întrebări răspunsul nu este în mod clar „sigur”, revenirea automată devine o soluție greu de justificat. Acest lucru este valabil mai ales pentru sistemele în care, după oprire, piesa rămâne în dispozitivul de prindere, cilindrul s-a oprit într-o poziție intermediară, axa este menținută prin cuplu, iar dispariția blocării poate provoca coborârea sau deplasarea. În astfel de cazuri, resetarea manuală nu este un simplu formalism, ci impune o verificare conștientă a situației înainte de readucerea în stare de pregătire.

În schimb, acolo unde după deblocarea E-STOP sistemul rămâne pasiv, iar pornirea mișcării necesită o acțiune separată a operatorului sau o secvență superioară, revenirea automată poate reduce timpii de staționare fără a diminua nivelul de siguranță. Un exemplu poate fi un post de lucru cu zonă de lucru protejată și cu un sistem de acționare care, după E-STOP, își pierde capacitatea de mișcare, dar după deblocare își recapătă alimentarea de comandă și starea de pregătire, fără a executa vreo mișcare a axei sau a cilindrului. Totuși, aceeași prevedere din controler devine discutabilă într-o mașină de transfer, unde eliberarea E-STOP deblochează frâna axei, restabilește presiunea către distribuitoare sau permite finalizarea unui pas întrerupt al secvenței.

De aceea, decizia trebuie reflectată nu doar în cod, ci și în documentele de proiect: în scheme, în matricea stărilor, în descrierea secvenței de repornire, în mesajele HMI, în procedurile de eliminare a blocajelor și în scenariile testelor de recepție. Dacă această logică nu poate fi explicată utilizatorului printr-o singură descriere coerentă — ce face eliberarea E-STOP, ce face resetarea și ce anume pornește procesul — de regulă este un semn că împărțirea funcțiilor este greșită sau prea complexă.

Mai întâi practica, apoi referința normativă

În practică, modul de resetare după acționarea opririi de urgență nu este decis de denumirea funcției, ci de răspunsul la o întrebare simplă: ce se va întâmpla exact cu mașina după eliberarea butonului tip ciupercă și dacă această stare este în mod clar sigură. Este o decizie de proiectare, nu o preferință a utilizatorului și nici o simplificare preluată dintr-o implementare anterioară.

Echipa ar trebui să poată descrie întregul lanț de evenimente: oprirea, eliminarea energiei până la nivelul cerut de evaluarea riscurilor, deblocarea dispozitivului, resetarea funcției, confirmarea stării de pregătire și abia apoi repornirea. Dacă oricare dintre aceste etape se suprapune peste alta sau depinde de comportamentul implicit al controlerului, apare teren pentru dispute la recepție și pentru erori de exploatare care nu mai pot fi corectate ulterior doar prin instrucțiuni.

Acest lucru se vede foarte bine la modernizarea unei celule existente, în care utilizatorul se așteaptă la opriri mai scurte după eliminarea unor perturbări minore, iar integratorul propune revenirea automată după eliberarea E-STOP pentru a simplifica operarea. La nivelul descrierii generale, soluția pare rezonabilă: operatorul elimină cauza opririi, deblochează dispozitivul, iar mașina revine în stare de pregătire fără un buton suplimentar de resetare. Problema apare abia în starea intermediară.

Dacă, după restabilirea mediului de lucru, cilindrul recapătă presiune într-o poziție în care poate executa o cursă, o apropiere sau o descărcare a dispozitivului de prindere fără o nouă intenție a operatorului, atunci revenirea în stare de pregătire încetează să mai fie o stare logică neutră. În realitate, ea devine un fragment al mișcării procesului, doar ascuns sub o altă denumire. Un astfel de caz necesită, de regulă, nu o simplă ajustare a programului, ci revenirea la arhitectura funcției: separarea deblocării de resetare, confirmarea explicită a stării de pregătire sau reproiectarea secvenței de depresurizare și de realimentare cu energie.

Acest exemplu arată și ce dovezi de proiectare sunt relevante. Nu este suficientă declarația că după eliberare nu pornește nimic, dacă în testele de recepție, documentație și condițiile de recepție nu a fost verificat comportamentul acționărilor, al supapelor, al frânelor și al pașilor secvenței exact în momentul deblocării E-STOP. În documentația tehnică a mașinilor ar trebui să existe consemnarea analizei de risc pentru acest scenariu, descrierea stărilor din HMI, scenariul testului după eliberarea opririi de urgență și confirmarea clară, de către utilizator, a logicii de repornire convenite. Tocmai în aceste materiale se evaluează ulterior coerența soluției: la recepția mașinii, la actualizarea procedurilor de acces în zonă sau a procedurilor LOTO, la excepțiile pentru modul de reglaj și de service, iar în caz de incident și atunci când se clarifică dacă operatorul putea anticipa comportamentul sistemului.

Abia pe acest fundal merită invocată ISO 13850. Standardul clarifică rolul opririi de urgență: aceasta trebuie să servească la oprirea procesului periculos sau la limitarea efectelor pericolului, iar deblocarea dispozitivului nu poate crea de la sine o nouă stare periculoasă. Pentru proiectant, concluzia practică este simplă: simpla readucere a dispozitivului E-STOP în poziția deblocat nu poate înlocui acțiunea conștientă cerută de conceptul de siguranță al mașinii.

În contextul polonez și al Uniunii Europene, nu este vorba însă doar despre conformitatea logică cu standardul. La fel de importantă este coerența întregii soluții cu documentația tehnică conformă cu Directiva Mașini, cu instrucțiunile de utilizare, cu rezultatele evaluării riscurilor și, după modernizare, cu domeniul actualizării validării funcțiilor de siguranță. Aceste aspecte sunt esențiale atât în aducerea mașinilor la conformitate cu cerințele minime, cât și în certificarea CE a mașinilor, pentru că exact ele vor fi analizate ulterior în relația furnizor–utilizator, nu o singură înregistrare din programul controlerului.

Concluzia practică este clară. Dacă proiectantul nu poate arăta ce se întâmplă după eliberarea E-STOP, ce energii revin, care elemente își pot schimba poziția și de ce această stare este sigură, nu trebuie introduse excepții procedurale de tipul „operatorul nu ar trebui să se afle atunci în zonă”. Trebuie revenit la funcție, la secvență și la împărțirea responsabilităților între deblocare, resetare și repornire. Abia o soluție care poate fi susținută în schemă, în probele de acceptanță, în instrucțiune și în evaluarea riscurilor poate fi considerată matură din punct de vedere tehnic.