Načrtovanje tokokrogov E-STOP v skladu z ISO 13850 – kdaj ročna ponastavitev in kdaj samodejna?

O tem, ali po aktivaciji zasilne zaustavitve uporabiti ročni ali samodejni reset, se je najbolje odločiti že v fazi zasnove stroja. Pozneje ta odločitev ni več zgolj manjša nastavitev v programu, temveč začne hkrati vplivati na arhitekturo krmiljenja, obnašanje pogonov in medijev, prevzemna preskušanja, navodila za uporabo ter način obravnave motenj. V praksi torej ne gre le za izbiro vrste reseta, ampak za to, kakšno stanje stroj doseže po sprostitvi E-STOP in ali je to stanje varno brez dodatnega, zavestnega posega človeka.

Reset ni podrobnost

Vprašanje reseta po E-STOP se zelo pogosto pojavi prepozno. Ko je logika stroja že zaključena, procesne sekvence napisane, krmilni sistem pa ima že določene predpostavke glede stanj pogonov in signalov po izpadu varnostne funkcije, sprememba načina reseta ni več popravek. Začne vplivati na program krmilnika, varnostne funkcije v industrijski avtomatizaciji, funkcionalna preskušanja, dokumentacijo in pogoje prevzema. Zato način ravnanja po aktivaciji zasilne zaustavitve ne bi smel izhajati iz navad projektanta ali iz pritiska po skrajšanju zastoja.

To je arhitekturna odločitev. Povezati jo je treba z odgovorom na dve vprašanji: kakšno stanje mora stroj doseči po sprostitvi naprave za zasilno zaustavitev in ali je to izključno varno stanje ali pa že stanje pripravljenosti za gibanje. Prav tu se najpogosteje pojavi napaka. Ne gre za samo izbiro ročnega ali samodejnega reseta, temveč za to, da ekipa ne preveri, ali lahko stroj po sprostitvi E-STOP preide v stanje, ki ga upravljavec ne pričakuje.

Če sprostitev gumba ne povzroči le preklica funkcije zaustavitve, temveč tudi ponovno vzpostavitev pripravljenosti pogonov, povrnitev napajanja pnevmatike ali vrnitev procesne logike na korak, iz katerega se gibanje lahko začne po enem samem signalu za zagon, tega ni dovoljeno presojati zgolj z vidika udobja. Analizirati je treba namerni ponovni zagon, preprečevanje nepričakovanega zagona in ergonomijo upravljanja: kdo izvede reset, s katerega mesta in ali s tega položaja dejansko vidi nevarno območje.

Pomembno je obnašanje celotnega sistema po posegu, ne le sam gumb E-STOP. Vedeti je treba, ali pogoni ostanejo odklopljeni, ali se servopogoni po sprostitvi vrnejo v stanje pripravljenosti, ali se pnevmatski sistem po razbremenitvi znova napaja, ali se signali v krmilniku ohranjajo ter v kakšnem zaporedju potekajo potrditve in sprostitve blokad. Drugače se presoja stroj, ki po sprostitvi zasilne zaustavitve ostane negiben in zahteva ločen, zavesten ukaz za zagon, in drugače takšen, ki se vrne v vmesni korak procesa ter skoraj samodejno ponovno vzpostavi pogoje za gibanje.

Tu se pojavi najpomembnejše projektantsko merilo: najprej se ne spraševati, kaj je formalno dovoljeno uporabiti, temveč kakšno stanje stroja dejansko nastopi po sprostitvi E-STOP in ali je to stanje varno brez dodatnega človekovega posega. Normativno izhodišče to presojo usmerja, ne more pa je nadomestiti. Težišče ni v udobju upravljanja, ampak v tem, da reset sam po sebi ne povzroči nevarne situacije.

Kje tveganje in stroški dejansko naraščajo

Največ projektantskih napak ne nastane tam, kjer stroj po aktivaciji E-STOP preprosto miruje, temveč tam, kjer do zaustavitve pride v vmesnem stanju. To velja zlasti za pakirne linije in procesne sisteme, robotske celice, sisteme s pritiskanjem, večosne pogone ter tokokroge z energijo, akumulirano v pnevmatiki, hidravliki ali mehanskih elementih. V takšnih sistemih odprava vzroka zaustavitve še ne pomeni, da se je mogoče varno vrniti v obratovanje.

Izdelek lahko ostane zagozden, os se lahko ustavi zunaj varnega položaja, prijemalo lahko še vedno drži obdelovanec, tlak ali navor pa lahko še naprej delujeta na mehanizem. V takem primeru izbira med ročnim in samodejnim resetom ni vprašanje udobja upravljavca, temveč tega, kakšno stanje stroja po sprostitvi E-STOP dejansko nastane in ali ga človek pravilno prepozna.

Z vidika projekta so najnevarnejše vmesne rešitve. Formalno ne zaženejo cikla, dejansko pa ponovno vzpostavijo sposobnost stroja za izvedbo gibanja ali sprožijo pomožno gibanje. Samodejni reset je privlačen tam, kjer sta pomembni razpoložljivost in hiter povratek v proizvodnjo, vendar lahko krmilnik po sprostitvi E-STOP ponovno vzpostavi pripravljenost pogonov, aktivira izhode, povrne tlak ali sprosti zavore. Upravljavec takrat stroj še vedno vidi kot zaustavljen, čeprav z vidika energije in logike krmiljenja ni več pasiven.

Prav takšna polsamodejna obnašanja najpogosteje vodijo do sporov pri prevzemu. Stroj se sam ne zažene v polnem ciklu, vendar ponovno pridobi energijo, vpne element, se pomakne v referenčni položaj ali zažene pomožno funkcijo. Z vidika projektiranja to niso podrobnosti uporabniškega vmesnika, temveč odločitve o meji med dopustno ponovno vzpostavitvijo pripravljenosti in nedopustnim nadaljevanjem delovanja.

V praksi je težava običajno mešane narave, saj povezuje varnost in organizacijo dela. Ročni reset zmanjšuje tveganje nepričakovanega ponovnega zagona, vendar slabo zasnovana rešitev hitro začne ustvarjati lastne stroške. Če je tipka za reset nameščena zunaj vidnega polja območja, zahteva dodaten dostop ali pa ni jasno ločena od sprostitve E-STOP in od ukaza za zagon, začne osebje postopek dojemati kot oviro. Takrat se pojavijo obvozi, posegi vzdrževanja, popravki navodil in dodatna usposabljanja. Če uporabnik ne zna nedvoumno razlikovati med sprostitvijo gobice, resetom varnostnega tokokroga in ponovnim zagonom procesa, težava ni zgolj v vsebini standarda, temveč v celotni arhitekturi upravljanja, vključno s sporočili HMI in razdelitvijo stroja na območja.

Dober primer je celica s transporterjem in pnevmatskim prijemalom. Po aktivaciji E-STOP se transporter ustavi, prijemalo ostane v vmesnem položaju, obdelovanec pa ni odložen. Po sprostitvi E-STOP krmiljenje ponovno vzpostavi pnevmatsko napajanje, ker ni ločene logike za varno razbremenitev sistema. Formalno ukaz za zagon ni bil podan, vendar valj znova dobi energijo in izvršilni element izvede kratek, nepričakovan gib, ki je posledica zgolj ponovne vzpostavitve tlaka. Tak primer je med preskušanji pogosto težko ponoviti, vendar zelo hitro omaje zaupanje uporabnika v stroj.

Posledice presegajo samo tveganje poškodbe. Pojavijo se posegi vzdrževanja, podaljšan prevzem, popravki programa, dopisovanje izjem v navodila ter spori o tem, ali je treba po E-STOP izpustiti tlak ali pogonski moment oziroma zgolj blokirati nadaljnje ukaze za gibanje. Podobne težave se pojavljajo pri samodejnem referenciranju po zaustavitvi ter pri centralnem tokokrogu E-STOP, ki zajema območja z različno vidljivostjo in različnimi posledicami povratka energije.

Na tej stopnji je sklicevanje na PN‑EN ISO 13850 in zahteve za izklop v sili koristno za jasnejšo razmejitev vprašanja. Samo dejstvo, da po sprostitvi E-STOP ne pride do polnega zagona cikla, še ne pomeni, da je rešitev sprejemljiva. Oceniti je treba, ali povratek energije, ponovna vzpostavitev pripravljenosti pogonov, aktiviranje prijema, sprostitev zavor osi ali gibanje v referenčni položaj ne ustvarijo nevarnega stanja ali stanja, ki je za operaterja zavajajoče. Zato je v praksi treba gledati ne le na sam signal reseta, temveč na celotno sekvenco.

Kako sprejeti projektno odločitev

Odločanje o resetu po aktivaciji zaustavitve v sili je smiselno začeti z opisom stanj stroja, ne pa z vprašanjem udobja upravljanja. Jasno je treba opredeliti, kaj se zgodi po pritisku na E-STOP in po njegovi sprostitvi: kateri energijski vodi se odklopijo, kateri ostanejo pod napetostjo, ali se vrne pripravljenost pogonov, ali se osi odblokirajo, ali lahko valji dokončajo gib pod vplivom preostalega tlaka, gravitacije ali elastične energije ter ali po ponovni vzpostavitvi pripravljenosti obstaja kakršna koli samodejna sekvenca.

Šele na tej podlagi je mogoče odgovoriti, ali je sama sprostitev gobice z vidika varnosti nevtralna ali pa že pomeni spremembo stanja, ki lahko ogrozi človeka. Če sprostitev E-STOP ponovno vzpostavi energijo na način, katerega posledic operater ne vidi v celoti ali ki lahko spremeni položaj izvršilnih elementov, postane izhodišče ročni reset. Če pa sprostitev ne povzroči gibanja, ne obnovi nevarne energije in ne sproži nobene sekvence, je mogoče razmisliti o samodejni vrnitvi v stanje pripravljenosti, vendar le, če nadaljnji zagon procesa zahteva ločen in nedvoumen ukaz.

V praksi pomaga ločevanje treh dejanj, ki se prepogosto mešajo v enem signalu ali enem operaterskem sporočilu. Sprostitev naprave za zaustavitev v sili je mehansko dejanje in pomeni le, da se je tipka vrnila v položaj pripravljenosti. Reset varnostne funkcije je ločena potrditev, da se lahko varnostni pogoji ponovno štejejo za izpolnjene. Zagon procesa pa je nekaj tretjega: odločitev za začetek gibanja ali nadaljevanje cikla.

Če se te ravni prekrivajo, uporabnik ne razume več, ali sprostitev E-STOP že nekaj zažene ali samo odstrani blokado, projektna ekipa pa izgubi možnost utemeljitve sprejete logike med ocenjevanjem skladnosti. Iz istega razloga je lokacija tipke za reset projektantsko, ne pa kozmetično vprašanje. Oseba, ki izvaja reset, mora imeti možnost oceniti območje, za katero ponovno vzpostavlja pripravljenost, ali pa mora sistem zagotoviti drugo zanesljivo metodo potrditve stanja.

Pri bolj kompleksnih linijah, kot so proizvodne in tehnološke linije, lahko to pomeni lokalni reset za posamezno območje ob ohranitvi pripravljenosti preostalega dela naprave, vendar le, če so meje območij, odvisnosti med pogoni in posledice ponovne vzpostavitve energije jasno opredeljene. Takšna odločitev mora izhajati iz analize funkcij, ne pa iz želje po poenostavitvi upravljanja.

Dober preizkus pri odločanju je opis sekvence, ne pa samo električna shema. Ekipa mora znati odgovoriti na nekaj kontrolnih vprašanj:

• ali se po sprostitvi E-STOP vrne energija ali izvršilna pripravljenost na način, ki ga je na stroju mogoče zaznati,
• ali lahko pride do kakršnega koli gibanja brez ločenega ukaza za zagon,
• ali oseba, ki izvaja reset, vidi celotno območje in lahko izključi prisotnost človeka ter vmesno stanje procesa.

Če na katerokoli od teh vprašanj odgovor ni nedvoumno varen, je samodejna vrnitev rešitev, ki jo je težko utemeljiti. To velja zlasti za sisteme, v katerih po zaustavitvi obdelovanec ostane v prijemalu, se valj ustavi v vmesnem položaju, os zadržuje navor, izguba blokade pa lahko povzroči spuščanje ali premik. V takih primerih ročni reset ni formalnost, temveč zahteva zavestno preverjanje stanja pred ponovno vzpostavitvijo pripravljenosti.

Po drugi strani pa lahko tam, kjer sistem po sprostitvi E-STOP ostane neaktiven, zagon gibanja pa zahteva ločeno dejanje operaterja ali nadrejeno sekvenco, samodejna vrnitev zmanjša zastoje, ne da bi poslabšala raven varnosti. Primer je lahko delovno mesto z zaščitenim delovnim območjem in pogonom, ki po E-STOP izgubi možnost gibanja, po sprostitvi pa ponovno dobi napajanje krmiljenja in stanje pripravljenosti, ne da bi pri tem izvedel kakršen koli premik osi ali valja. Enak zapis v krmilniku pa postane vprašljiv pri transfernem stroju, kjer sprostitev E-STOP odblokira os, ponovno vzpostavi tlak na razdelilnikih ali omogoči dokončanje prekinjenega koraka sekvence.

Zato je treba odločitev opredeliti ne le v kodi, temveč tudi v projektni dokumentaciji: v shemah, matriki stanj, opisu sekvence ponovnega zagona, sporočilih HMI, postopkih odpravljanja zastojev in scenarijih prevzemnih preskušanj. Če te logike uporabniku ni mogoče pojasniti z enim usklajenim opisom — kaj naredi sprostitev E-STOP, kaj naredi reset in kaj zažene proces — je to praviloma znak, da je razdelitev funkcij napačna ali preveč zapletena.

Najprej praksa, nato normativno izhodišče

V praksi o načinu reseta po aktivaciji zaustavitve v sili ne odloča ime funkcije, temveč odgovor na preprosto vprašanje: kaj natančno se bo zgodilo s strojem po sprostitvi gobice in ali je to stanje nedvoumno varno. To je projektna odločitev, ne pa uporabniška preferenca ali miselna bližnjica, prenesena iz prejšnje izvedbe.

Ekipa mora znati opisati celotno verigo dogodkov: zaustavitev, izklop energije do ravni, ki jo zahteva ocena tveganja, odblokiranje naprave, reset funkcije, potrditev pripravljenosti in šele nato ponovni zagon. Če se katera od teh faz prekriva z drugo ali je odvisna od privzetega obnašanja krmilnika, nastane prostor za spore pri prevzemu in za napake pri obratovanju, ki jih pozneje ni mogoče odpraviti zgolj z navodili.

To se dobro pokaže pri posodobitvi obstoječe celice, kjer uporabnik pričakuje krajše zastoje po odpravi manjših motenj, integrator pa predlaga samodejno vrnitev po sprostitvi E-STOP, da bi poenostavil upravljanje. Na ravni splošnega opisa je rešitev videti smiselna: operater odpravi vzrok zaustavitve, odblokira napravo in stroj se brez dodatnega gumba za reset vrne v stanje pripravljenosti. Težava se pokaže šele v vmesnem stanju.

Če po ponovni vzpostavitvi delovnega medija valj znova dobi tlak v takem položaju, da lahko izvede hod, pritisni pomik ali razbremenitev prijemala brez nove namere operaterja, vrnitev v stanje pripravljenosti ni več nevtralno logično stanje. V resnici postane del procesnega gibanja, le da je skrit pod drugim imenom. Tak primer običajno ne zahteva kozmetičnega popravka programa, temveč vrnitev k arhitekturi funkcij: ločitev odblokiranja od reseta, izrecno potrditev pripravljenosti ali preoblikovanje sekvence odzračevanja in ponovne vzpostavitve energije.

Na tem primeru je razvidno tudi, kateri projektni dokazi so pomembni. Ne zadostuje izjava, da se po sprostitvi nič ne zažene, če pri prevzemnih preskušanjih ni bilo preverjeno obnašanje pogonov, ventilov, zavor in korakov sekvence natančno v trenutku odblokiranja E-STOP. V tehnični dokumentaciji strojev mora obstajati zapis analize tveganja za ta scenarij, opis stanj na HMI, scenarij preizkusa po sprostitvi zaustavitve v sili ter jasno potrdilo uporabnika o dogovorjeni logiki ponovnega zagona. Prav v teh gradivih se pozneje presoja usklajenost rešitve: pri prevzemu stroja, pri posodobitvi postopkov vstopa v območje ali postopkov LOTO, pri izjemah za nastavitveni in servisni način, v primeru incidenta pa tudi pri pojasnjevanju, ali je operater lahko predvidel obnašanje sistema.

Šele v takem okviru se je smiselno sklicevati na ISO 13850. Standard ureja vlogo zaustavitve v sili: namenjena je zaustavitvi nevarnega procesa ali omejitvi posledic nevarnosti, odblokiranje naprave pa samo po sebi ne sme ustvariti novega nevarnega stanja. Za projektanta je praktičen sklep preprost: sama vrnitev naprave E-STOP v odblokiran položaj ne sme nadomestiti zavestnega dejanja, ki ga zahteva varnostni koncept stroja.

V slovenski in evropski praksi pa ne gre zgolj za logično skladnost s standardom. Enako pomembna je usklajenost celotne rešitve s tehnično dokumentacijo, skladno z Direktivo o strojih, navodili za uporabo, rezultati ocene tveganja ter po posodobitvi tudi z obsegom posodobitve validacije varnostnih funkcij. Prav ti elementi bodo pozneje predmet presoje v razmerju dobavitelj–uporabnik, ne pa posamezen zapis v programu krmilnika.

Praktični sklep je nedvoumen. Če projektant ne zna pokazati, kaj se zgodi po sprostitvi E-STOP, katere energije se ponovno vzpostavijo, kateri elementi lahko spremenijo položaj in zakaj je to stanje varno, potem ni dopustno dodajati postopkovnih izjem v slogu »operater takrat ne sme stati v območju«. Vrniti se je treba k funkciji, zaporedju in razmejitvi odgovornosti med odblokiranjem, resetiranjem in ponovnim zagonom. Šele rešitev, ki jo je mogoče utemeljiti na shemi, pri prevzemnih preskusih, v navodilih in v oceni tveganja, je mogoče šteti za tehnično zrelo.