Navrhovanie obvodov E-STOP podľa ISO 13850 – kedy manuálny reset a kedy automatický?

O tom, či sa po aktivácii núdzového zastavenia použije ručný alebo automatický reset, je najlepšie rozhodnúť už vo fáze koncepcie. Neskôr už toto rozhodnutie nie je len drobným nastavením v programe, ale začína ovplyvňovať architektúru riadenia, správanie pohonov a médií, preberacie skúšky, návod na používanie aj spôsob riešenia porúch. V praxi teda nejde len o samotnú voľbu typu resetu, ale o to, aký stav stroj dosiahne po odblokovaní E-STOP a či je tento stav bezpečný aj bez ďalšieho vedomého zásahu človeka.

Reset nie je detail

Otázka resetu po E-STOP sa veľmi často otvára príliš neskoro. Keď je už logika stroja uzavretá, procesné sekvencie napísané a riadiaci systém má stanovené predpoklady pre stavy pohonov a signálov po výpadku bezpečnostnej funkcie, zmena spôsobu resetu už nie je len korekciou. Začína zasahovať do programu riadiacej jednotky, bezpečnostných funkcií v priemyselnej automatizácii, funkčných skúšok, dokumentácie a podmienok prevzatia. Preto by spôsob postupu po aktivácii núdzového zastavenia nemal vychádzať zo zvyklostí projektanta ani z tlaku na skrátenie odstávky.

Je to architektonické rozhodnutie. Treba ho prepojiť s odpoveďou na dve otázky: aký stav má stroj dosiahnuť po odblokovaní zariadenia núdzového zastavenia a či je tento stav výlučne bezpečným stavom, alebo už stavom pripravenosti na pohyb. Práve tu sa najčastejšie objavuje chyba. Nespočíva v samotnej voľbe ručného alebo automatického resetu, ale v tom, že tím neanalyzuje, či po uvoľnení E-STOP môže stroj prejsť do stavu, ktorý operátor neočakáva.

Ak uvoľnenie tlačidla nespôsobí len zrušenie funkcie zastavenia, ale aj obnovenie pripravenosti pohonov, opätovné privedenie napájania pneumatiky alebo návrat logiky procesu do kroku, z ktorého sa pohyb môže spustiť po jedinom štartovacom signáli, nemožno to posudzovať iba z hľadiska pohodlia. Treba analyzovať zamýšľaný reštart, predchádzanie neočakávanému spusteniu a ergonómiu obsluhy: kto vykonáva reset, z akého miesta a či z tejto pozície skutočne vidí nebezpečnú zónu.

Rozhodujúce je správanie celého systému po zásahu, nielen samotné tlačidlo E-STOP. Treba vedieť, či pohony zostávajú odpojené, či sa servopohony po uvoľnení vracajú do stavu pripravenosti, či sa pneumatický systém po odvzdušnení znovu natlakuje, či sa signály v riadiacej jednotke zachovajú a v akom poradí prebiehajú potvrdenia a odblokovania. Inak sa posudzuje stroj, ktorý po uvoľnení núdzového zastavenia zostáva nehybný a vyžaduje samostatný, vedomý povel na spustenie, a inak taký, ktorý sa vracia do medzikroku procesu a takmer automaticky obnovuje podmienky pre pohyb.

Práve tu sa objavuje najdôležitejšie projektové kritérium: nepýtať sa najprv, čo je formálne dovolené použiť, ale aký stav stroja po odblokovaní E-STOP v skutočnosti nastane a či je tento stav bezpečný bez ďalšieho zásahu človeka. Normatívny rámec túto úvahu usporadúva, ale nenahrádza ju. Ťažisko nie je v pohodlí obsluhy, ale v tom, aby reset sám osebe nevyvolal nebezpečnú situáciu.

Kde v skutočnosti rastie riziko a náklady

Najviac projektových chýb nevzniká tam, kde stroj po aktivácii E-STOP jednoducho stojí, ale tam, kde zastavenie nastane v medzistave. Týka sa to najmä baliacich liniek, robotických buniek, systémov s prítlakom, viacosových pohonov a obvodov s energiou akumulovanou v pneumatike, hydraulike alebo mechanických prvkoch. V takýchto systémoch odstránenie príčiny zastavenia ešte neznamená, že sa možno bezpečne vrátiť do prevádzky.

Výrobok môže zostať zaseknutý, os sa môže zastaviť mimo bezpečnej polohy, chápadlo môže stále držať diel a tlak alebo moment môžu na mechanizmus naďalej pôsobiť. V takej situácii sa voľba medzi ručným a automatickým resetom netýka pohodlia operátora, ale toho, aký stav stroja po uvoľnení E-STOP skutočne vznikne a či ho človek správne vyhodnotí.

Z pohľadu návrhu sú najnebezpečnejšie medzistupňové riešenia. Formálne nespúšťajú cyklus, ale fakticky obnovujú schopnosť stroja vykonať pohyb alebo vyvolávajú pomocný pohyb. Automatický reset láka tam, kde je dôležitá dostupnosť a rýchly návrat do výroby, no po uvoľnení E-STOP môže riadiaci systém obnoviť pripravenosť pohonov, aktivovať výstupy, obnoviť tlak alebo odblokovať brzdy. Operátor potom vníma stroj ako stále zastavený, hoci z pohľadu energie a logiky riadenia už nie je pasívny.

Práve takéto poloautomatické správanie najčastejšie vedie k sporom pri preberaní. Stroj sa síce sám nerozbehne do plného cyklu, ale znovu získa energiu, upne prvok, dôjde do referenčnej polohy alebo spustí pomocnú funkciu. Z projektového hľadiska to nie sú detaily rozhrania, ale rozhodnutia o hranici medzi prípustným obnovením pripravenosti a neprípustným obnovením činnosti.

V praxi má problém zvyčajne zmiešaný charakter, pretože spája bezpečnosť s organizáciou práce. Ručný reset znižuje riziko neočakávaného opätovného spustenia, no ak je navrhnutý zle, rýchlo začne vytvárať vlastné náklady. Ak je tlačidlo resetu umiestnené mimo dohľadu na zónu, vyžaduje dodatočný prístup alebo nie je jasne oddelené od odblokovania E-STOP a od príkazu štart, obsluha začne postup vnímať ako prekážku. Vtedy sa objavujú obchádzania, zásahy údržby, úpravy návodu a dodatočné školenia. Ak používateľ nedokáže jednoznačne rozlíšiť medzi odblokovaním hríbika, resetom bezpečnostného obvodu a opätovným spustením procesu, problém nespočíva len v znení normy, ale v celej architektúre obsluhy vrátane hlásení HMI a členenia stroja na zóny.

Dobrým príkladom je pracovisko s dopravníkom a pneumatickým chápadlom. Po aktivácii E-STOP sa dopravník zastaví, chápadlo zostane v medzipolohe a diel sa neodloží. Po uvoľnení E-STOP riadenie obnoví pneumatické napájanie, pretože neexistuje samostatná logika bezpečného odľahčenia systému. Formálne nebol vydaný príkaz štart, ale valec získa späť energiu a akčný člen vykoná krátky, neočakávaný pohyb spôsobený výlučne návratom tlaku. Takýto prípad býva pri skúškach ťažké zopakovať, no veľmi rýchlo podkopáva dôveru používateľa v stroj.

Dôsledky presahujú samotné riziko úrazu. Objavujú sa zásahy údržby, predĺžené preberanie, úpravy programu, dopĺňanie výnimiek do návodu a spory o tom, či sa má po E-STOP odpúšťať tlak alebo krútiaci moment pohonu, alebo sa majú iba blokovať ďalšie príkazy pohybu. Podobné problémy vznikajú aj pri automatickom referencovaní po zastavení a pri centrálnom obvode E-STOP, ktorý zahŕňa zóny s rozdielnou viditeľnosťou a rozdielnymi dôsledkami návratu energie.

V tomto štádiu má odkaz na PN‑EN ISO 13850 a požiadavky na núdzové zastavenie usmerňujúci význam. Samotná skutočnosť, že po uvoľnení E-STOP nedôjde k úplnému spusteniu cyklu, ešte nerozhoduje o tom, či je riešenie prijateľné. Treba posúdiť, či návrat energie, obnovenie pripravenosti pohonov, zopnutie úchopu, odbrzdenie osi alebo pohyb do referenčnej polohy nevytvára nebezpečný stav alebo stav mätúci pre operátora. Preto sa v praxi treba pozerať nie na samotný signál resetu, ale na celú sekvenciu.

Ako prijať projektové rozhodnutie

Rozhodnutie o resete po aktivácii núdzového zastavenia je vhodné začať opisom stavov stroja, nie otázkou pohodlia obsluhy. Treba jednoznačne rozpísať, čo sa deje po stlačení E-STOP a po jeho odblokovaní: ktoré vetvy energie sa odpájajú, ktoré zostávajú pod napätím, či sa obnoví pripravenosť pohonov, či sa odbrzdia osi, či môžu valce dokončiť pohyb vplyvom zvyškového tlaku, gravitácie alebo pružnej energie a či po obnovení pripravenosti existuje akákoľvek samočinná sekvencia.

Až na tomto základe možno odpovedať, či je samotné uvoľnenie hríbika z hľadiska bezpečnosti neutrálne, alebo už predstavuje zmenu stavu, ktorá môže ohroziť človeka. Ak odblokovanie E-STOP obnovuje energiu spôsobom, ktorého dôsledky operátor nevidí v plnom rozsahu alebo ktorý môže zmeniť polohu akčných členov, východiskom sa stáva ručný reset. Ak naopak odblokovanie nevyvoláva pohyb, neobnovuje nebezpečnú energiu a nespúšťa žiadnu sekvenciu, možno uvažovať o automatickom návrate do stavu pripravenosti, ale len vtedy, ak ďalší rozbeh procesu vyžaduje samostatný, jednoznačný príkaz.

V praxi pomáha oddeliť tri činnosti, ktoré sa až príliš často miešajú do jedného signálu alebo jedného operátorského hlásenia. Odblokovanie zariadenia núdzového zastavenia je mechanický úkon a znamená iba to, že tlačidlo sa vrátilo do pohotovostnej polohy. Reset bezpečnostnej funkcie je samostatné potvrdenie, že bezpečnostné podmienky možno opäť považovať za splnené. Rozbeh procesu je ešte niečo iné: rozhodnutie začať pohyb alebo obnoviť cyklus.

Ak sa tieto úrovne prekrývajú, používateľ prestáva rozumieť, či uvoľnenie E-STOP už niečo spúšťa, alebo iba odstraňuje blokovanie, a projektový tím stráca možnosť obhájiť prijatú logiku pri posudzovaní zhody stroja. Z rovnakého dôvodu má umiestnenie tlačidla resetu projektový, nie kozmetický význam. Osoba vykonávajúca reset by mala mať možnosť posúdiť zónu, pre ktorú obnovuje pripravenosť, alebo systém musí zabezpečiť inú spoľahlivú metódu potvrdenia stavu.

Pri zložitejších linkách to môže znamenať lokálny reset pre danú zónu pri zachovaní pripravenosti zvyšku inštalácie, ale iba vtedy, ak sú hranice zón, závislosti medzi pohonmi a dôsledky obnovenia energie jasne definované. Takéto rozhodnutie musí vyplývať z funkčnej analýzy, nie zo snahy zjednodušiť obsluhu.

Dobrým rozhodovacím testom je opis sekvencie, nie samotnej elektrickej schémy. Tím by mal vedieť odpovedať na niekoľko kontrolných otázok:

• či sa po uvoľnení E-STOP obnoví energia alebo akčná pripravenosť spôsobom citeľným pre stroj,
• či môže nastať akýkoľvek pohyb bez samostatného príkazu na rozbeh,
• či osoba vykonávajúca reset vidí celú zónu a môže vylúčiť prítomnosť človeka aj medzistav procesu.

Ak pri ktorejkoľvek z týchto otázok nie je odpoveď jednoznačne bezpečná, automatický návrat sa stáva riešením, ktoré sa len ťažko obhajuje. Platí to najmä pre systémy, v ktorých po zastavení zostáva diel v upínači, valec sa zastavil v medzipolohe, os je držaná momentom a strata blokovania môže vyvolať pokles alebo posun. V takýchto prípadoch nie je ručný reset formalitou, ale núti k vedomej kontrole situácie pred obnovením pripravenosti.

Naopak tam, kde po odblokovaní E-STOP zostáva systém pasívny a spustenie pohybu vyžaduje samostatný zásah operátora alebo nadradenú sekvenciu, môže automatický návrat obmedziť prestoje bez zhoršenia úrovne bezpečnosti. Príkladom môže byť pracovisko s krytou pracovnou zónou a pohonom, ktorý po E-STOP stratí schopnosť pohybu, no po odblokovaní získa späť napájanie riadenia a stav pripravenosti bez toho, aby vykonal akýkoľvek pohyb osi alebo valca. Ten istý zápis v riadiacom systéme je však sporný pri transferovom stroji, kde uvoľnenie E-STOP odbrzdí os, obnoví tlak na rozvádzače alebo umožní dokončiť prerušený krok sekvencie.

Preto treba toto rozhodnutie zachytiť nielen v kóde, ale aj v projektovej dokumentácii: v schémach, matici stavov, opise sekvencie reštartu, hláseniach HMI, postupoch odstraňovania zaseknutí a scenároch preberacích skúšok. Ak túto logiku nemožno používateľovi vysvetliť jedným súvislým opisom — čo robí uvoľnenie E-STOP, čo robí reset a čo spúšťa proces — zvyčajne je to znak, že rozdelenie funkcií je chybné alebo príliš zložité.

Najprv prax, potom normatívny odkaz

V praxi o spôsobe resetu po aktivácii núdzového zastavenia nerozhoduje názov funkcie, ale odpoveď na jednoduchú otázku: čo presne sa stane so strojom po uvoľnení hríbika a či je tento stav jednoznačne bezpečný. Je to projektové rozhodnutie už na úrovni koncepcie stroja, nie preferencia používateľa ani skratka prevzatá z predchádzajúcej realizácie.

Tím by mal vedieť opísať celý reťazec udalostí: zastavenie, odpojenie energie na úroveň požadovanú hodnotením rizika, odblokovanie zariadenia, reset funkcie, potvrdenie pripravenosti a až potom opätovné spustenie. Ak sa ktorýkoľvek z týchto krokov prekrýva s iným alebo závisí od predvoleného správania riadiaceho systému, vzniká priestor na spory pri preberaní aj na prevádzkové chyby, ktoré sa neskôr nedajú napraviť samotným návodom.

Dobre je to vidieť pri modernizácii existujúcej bunky, v ktorej používateľ očakáva kratšie odstávky po odstránení drobných porúch a integrátor navrhuje automatický návrat po uvoľnení E-STOP, aby zjednodušil obsluhu. Na úrovni všeobecného opisu vyzerá riešenie rozumne: operátor odstráni príčinu zastavenia, odblokuje zariadenie a stroj sa vráti do pripravenosti bez dodatočného tlačidla resetu. Problém sa ukáže až v prechodovom stave.

Ak po obnovení pracovného média valec získa tlak späť v takej polohe, že môže vykonať zdvih, prisunutie alebo odľahčenie chápadla bez nového úmyslu operátora, návrat do pripravenosti prestáva byť neutrálnym logickým stavom. V skutočnosti sa stáva súčasťou pohybu procesu, len skrytou pod iným názvom. Takýto prípad si zvyčajne nevyžaduje kozmetickú úpravu programu, ale návrat k architektúre funkcií: oddelenie odblokovania od resetu, výslovné potvrdenie pripravenosti alebo prestavbu sekvencie odvzdušnenia a opätovného privedenia energie.

Na tomto príklade je vidieť aj to, aké projektové dôkazy sú dôležité. Nestačí vyhlásenie, že po uvoľnení sa nič nespustí, ak sa pri preberacích skúškach neoverilo správanie pohonov, ventilov, bŕzd a krokov sekvencie presne v okamihu odblokovania E-STOP. V technickej dokumentácii strojov by mal byť záznam o analýze rizika pre tento scenár, opis stavov na HMI, scenár skúšky po uvoľnení núdzového zastavenia a jasné potvrdenie dohodnutej logiky reštartu zo strany používateľa. Práve v týchto materiáloch sa neskôr posudzuje konzistentnosť riešenia: pri preberaní stroja, pri aktualizácii postupov vstupu do zóny alebo postupov LOTO, pri výnimkách pre nastavovací a servisný režim a v prípade incidentu aj pri objasňovaní, či operátor mohol správanie systému predvídať.

Až na takomto základe má zmysel odvolať sa na ISO 13850. Norma usporadúva úlohu núdzového zastavenia: má slúžiť na zastavenie nebezpečného procesu alebo obmedzenie následkov ohrozenia a odblokovanie zariadenia nesmie samo osebe vytvoriť nový nebezpečný stav. Pre projektanta je praktický záver jednoduchý: samotný návrat zariadenia E-STOP do odblokovanej polohy nemôže nahrádzať vedomý úkon vyžadovaný koncepciou bezpečnosti stroja.

V podmienkach Poľska a Európskej únie však nejde len o logický súlad s normou. Rovnako dôležitá je aj konzistentnosť celého riešenia s technickou dokumentáciou v súlade so smernicou o strojových zariadeniach, návodom na používanie, výsledkami hodnotenia rizika a po modernizácii aj s rozsahom aktualizácie validácie bezpečnostných funkcií. Práve tieto prvky budú neskôr predmetom posudzovania vo vzťahu dodávateľ – používateľ, nie jednotlivý zápis v programe riadiaceho systému.

Praktický záver je jednoznačný. Ak projektant nevie preukázať, čo sa deje po uvoľnení E-STOP, aké energie sa obnovia, ktoré prvky môžu zmeniť polohu a prečo je tento stav bezpečný, nemajú sa dopĺňať procesné výnimky typu „obsluha by sa vtedy nemala nachádzať v zóne“. Treba sa vrátiť k funkcii, sekvencii a rozdeleniu zodpovednosti medzi odblokovanie, reset a opätovné spustenie. Až riešenie, ktoré možno obhájiť v schéme, pri akceptačných skúškach, v návode a v posúdení rizika, možno považovať za technicky vyspelé.