Konstruktion av E-STOP-kretsar enligt ISO 13850 – när manuell återställning och när automatisk?

Frågan om man efter att nödstoppet har löst ut ska använda manuell eller automatisk återställning bör helst avgöras redan på konceptstadiet. Senare är det inte längre en mindre inställning i programmet, utan ett beslut som samtidigt påverkar styrsystemets arkitektur, hur drivsystem och medier beter sig, funktionsprov vid idrifttagning, bruksanvisningen samt hur störningar hanteras. I praktiken handlar det alltså inte bara om valet av typ av återställning, utan om vilket tillstånd maskinen uppnår efter att E-STOP har återställts och om detta tillstånd är säkert utan ytterligare, medveten mänsklig åtgärd.

Återställning är ingen detalj

Frågan om återställning efter E-STOP kommer mycket ofta upp för sent. När maskinens logik redan är fastlagd, processsekvenserna skrivna och styrsystemet bygger på antaganden om drivsystemens och signalernas tillstånd efter bortfall av säkerhetsfunktionen, är en ändring av återställningssättet inte längre en korrigering. Den börjar påverka PLC-programmet, säkerhetsfunktioner inom industriell automation, funktionsprov, dokumentation och förutsättningarna för godkännande. Därför bör sättet att hantera ett utlöst nödstopp inte styras av konstruktörens vana eller av press att förkorta stilleståndet.

Det är ett arkitekturbeslut. Det måste kopplas till svaret på två frågor: vilket tillstånd maskinen ska uppnå efter att nödstoppanordningen har återställts, och om detta tillstånd enbart är ett säkert tillstånd eller redan ett tillstånd av rörelseberedskap. Det är just här felet oftast uppstår. Det ligger inte i själva valet mellan manuell och automatisk återställning, utan i att teamet inte analyserar om maskinen efter att E-STOP har frigjorts kan gå över till ett tillstånd som operatören inte förväntar sig.

Om frigöring av knappen inte bara innebär att stoppfunktionen kvitteras, utan också att drivsystemens beredskap återställs, att tryckluftsförsörjningen återkommer eller att processlogiken återgår till ett steg där rörelse kan starta efter en enda startsignal, får detta inte bedömas enbart utifrån bekvämlighet. Man måste analysera avsedd återstart, förebyggande av oväntad igångsättning och ergonomin i handhavandet: vem som utför återställningen, från vilken plats och om personen från den positionen faktiskt ser riskområdet.

Det är hela systemets beteende efter ingreppet som är avgörande, inte bara själva E-STOP-knappen. Man måste veta om drivsystemen förblir frånkopplade, om servodrifterna efter frigöring återgår till beredskapsläge, om det pneumatiska systemet åter får matning efter avluftning, om signaler i styrsystemet hålls kvar samt i vilken ordning kvitteringar och frigivningar sker. En maskin som efter frigjort nödstopp står still och kräver ett separat, medvetet startkommando bedöms på ett annat sätt än en maskin som återgår till ett mellanliggande processteg och nästan automatiskt återskapar förutsättningarna för rörelse.

Här kommer det viktigaste projekteringskriteriet: man ska inte först fråga vad som formellt är tillåtet att använda, utan vilket maskintillstånd som faktiskt uppstår efter att E-STOP har återställts och om detta tillstånd är säkert utan ytterligare mänsklig åtgärd. Ett normativt ramverk strukturerar denna bedömning, men ersätter den inte. Tyngdpunkten ligger inte på användarvänlighet, utan på att återställningen i sig inte får orsaka en farlig situation.

Var risk och kostnad faktiskt ökar

De flesta konstruktionsfelen uppstår inte där maskinen efter E-STOP helt enkelt står still, utan där stoppet sker i ett mellanläge. Detta gäller särskilt förpackningslinjer, robotceller, system med presskraft, fleraxliga drivsystem samt kretsar med lagrad energi i pneumatik, hydraulik eller mekaniska komponenter. I sådana system innebär det inte automatiskt att man säkert kan återgå till drift bara för att orsaken till stoppet har undanröjts.

Produkten kan fortfarande sitta fast, en axel kan ha stannat utanför säkert läge, gripdonet kan fortfarande hålla detaljen och tryck eller moment kan fortfarande påverka mekanismen. I en sådan situation handlar valet mellan manuell och automatisk återställning inte om operatörens bekvämlighet, utan om vilket maskintillstånd som faktiskt uppstår efter att E-STOP har frigjorts och om människan tolkar detta tillstånd korrekt.

Ur projektsynpunkt är mellanlösningarna de farligaste. Formellt startar de inte cykeln, men i praktiken återställer de maskinens förmåga att utföra rörelse eller utlöser en hjälprörelse. Automatisk återställning är lockande där tillgänglighet och snabb återgång till produktion är viktiga, men efter att E-STOP har frigjorts kan styrsystemet återställa drivberedskap, aktivera utgångar, återföra tryck eller frigöra bromsar. Operatören uppfattar då maskinen som fortfarande stoppad, trots att den ur energi- och styrlogiksynpunkt inte längre är passiv.

Det är just sådana halvautomatiska beteenden som oftast leder till diskussioner vid godkännande. Maskinen startar inte själv en full cykel, men återfår energi, klämmer fast ett element, kör till referensläge eller aktiverar en hjälpfunktion. Ur projekteringssynpunkt är detta inte detaljer i gränssnittet, utan beslut om gränsen mellan tillåten återställning av beredskap och otillåtet återupptagande av funktion.

I praktiken är problemet oftast av blandad karaktär, eftersom det förenar säkerhet med arbetsorganisation. Manuell återställning minskar risken för oväntad återstart, men om den är fel utformad skapar den snabbt egna kostnader. Om återställningsknappen är placerad utanför siktfältet för zonen, kräver extra förflyttning eller inte tydligt skiljs från återställning av E-STOP och från startkommando, börjar operatörerna uppfatta proceduren som ett hinder. Då uppstår genvägar, insatser från underhåll, korrigeringar i instruktionerna och ytterligare utbildningar. Om användaren inte tydligt kan skilja mellan att återställa nödstoppet, återställa säkerhetskretsen och att starta processen på nytt, ligger problemet inte enbart i standardens innehåll utan i hela manöverarkitekturen, inklusive HMI-meddelanden och maskinens zonindelning.

Ett bra exempel är en cell med transportör och pneumatisk gripare. När E-STOP aktiveras stannar transportören, griparen blir kvar i ett mellanläge och detaljen läggs inte av. När E-STOP återställs återför styrsystemet den pneumatiska matningen, eftersom det saknas separat logik för säker avlastning av systemet. Formellt har inget startkommando getts, men cylindern får tillbaka energi och ställdonet gör en kort, oväntad rörelse som enbart beror på att trycket återkommer. Ett sådant fall kan vara svårt att återskapa vid provning, men det undergräver mycket snabbt användarens förtroende för maskinen.

Konsekvenserna går längre än själva risken för personskada. Det uppstår insatser från underhåll, förlängd idrifttagning, programändringar, tillägg av undantag i instruktionerna samt diskussioner om huruvida tryck eller drivmoment ska släppas efter E-STOP, eller om man endast ska blockera ytterligare rörelsekommandon. Liknande problem uppstår vid automatisk referenskörning efter stopp samt vid en central E-STOP-krets som omfattar zoner med olika siktförhållanden och olika konsekvenser när energi återförs.

I detta skede har hänvisningen till PN‑EN ISO 13850 och kraven för nödstopp en strukturerande funktion. Det faktum att en fullständig cykelstart inte sker när E-STOP återställs avgör i sig inte om lösningen är acceptabel. Man måste bedöma om återföring av energi, återställd drivberedskap, gripfunktion, bromsfrigöring av axlar eller rörelse till referensläge skapar ett farligt tillstånd eller ett tillstånd som är vilseledande för operatören. Därför bör man i praktiken inte se enbart på själva återställningssignalen utan på hela sekvensen.

Hur man fattar ett konstruktionsbeslut

Beslutet om återställning efter aktivering av nödstopp bör börja med en beskrivning av maskinens tillstånd, inte med frågan om användarvänlighet. Det måste tydligt specificeras vad som händer efter att E-STOP har tryckts in och efter att det har återställts: vilka energivägar som bryts, vilka som förblir spänningssatta, om drivberedskap återkommer, om axlar bromsfrikopplas, om cylindrar kan fullfölja en rörelse på grund av resttryck, gravitation eller elastisk energi samt om det efter återställd beredskap finns någon som helst automatisk sekvens.

Först på den grunden kan man avgöra om enbart återställning av nödstoppet är neutral ur säkerhetssynpunkt eller om den redan innebär en tillståndsändring som kan utsätta människor för risk. Om återställning av E-STOP återför energi på ett sätt vars konsekvenser operatören inte fullt ut kan överblicka, eller som kan ändra ställdonens läge, blir manuell återställning utgångspunkten. Om återställningen däremot inte orsakar rörelse, inte återför farlig energi och inte startar någon sekvens, kan man överväga automatisk återgång till beredskapsläge, men endast om fortsatt processstart kräver ett separat och entydigt kommando.

I praktiken hjälper det att skilja mellan tre åtgärder som alltför ofta blandas ihop i en och samma signal eller i ett och samma operatörsmeddelande. Återställning av nödstoppet är en mekanisk åtgärd och innebär endast att knappen har återgått till beredskapsläge. Återställning av säkerhetsfunktionen är en separat bekräftelse på att säkerhetsvillkoren åter kan anses uppfyllda. Processstart är något annat: beslutet att påbörja rörelse eller återuppta cykeln.

Om dessa nivåer överlappar varandra slutar användaren att förstå om återställning av E-STOP redan sätter något i gång eller bara tar bort en spärr, och projektgruppen förlorar möjligheten att försvara den valda logiken vid bedömning av överensstämmelse. Av samma skäl är återställningsknappens placering en konstruktionsfråga, inte en kosmetisk detalj. Den person som utför återställningen bör kunna bedöma den zon för vilken beredskapen återställs, eller så måste systemet tillhandahålla en annan tillförlitlig metod för att bekräfta tillståndet.

I mer komplexa linjer kan detta innebära lokal återställning för den aktuella zonen samtidigt som resten av anläggningen hålls i beredskap, men bara om zongränserna, beroendena mellan drivsystemen och konsekvenserna av återförd energi är tydligt definierade. Ett sådant beslut måste följa av funktionsanalysen, inte av en vilja att förenkla handhavandet. Detta är en arkitektonisk konstruktionsfråga.

Ett bra beslutsprov är att beskriva sekvensen, inte bara elschemat. Gruppen bör kunna besvara några kontrollfrågor:

• om energi eller manöverberedskap återkommer när E-STOP återställs på ett sätt som märks i maskinen,
• om någon rörelse kan uppstå utan ett separat startkommando,
• om den person som utför återställningen ser hela zonen och kan utesluta att någon person befinner sig där samt att processen befinner sig i ett mellanläge.

Om svaret på någon av dessa frågor inte är entydigt säkert blir automatisk återgång en lösning som är svår att motivera. Det gäller särskilt system där detaljen efter stoppet ligger kvar i gripdonet, cylindern har stannat i ett mellanläge, axeln hålls kvar av moment eller där bortfall av låsning kan orsaka nedfall eller förflyttning. I sådana fall är manuell reset inte en formalitet, utan tvingar fram en medveten kontroll av situationen innan beredskapsläget återställs.

Däremot kan automatisk återgång minska stillestånd utan att säkerhetsnivån försämras där systemet förblir passivt efter att E-STOP har låsts upp och där rörelse bara kan startas genom en separat operatörsåtgärd eller en överordnad sekvens. Ett exempel kan vara en station med avskärmad arbetszon och en drivning som efter E-STOP förlorar möjligheten till rörelse men som efter upplåsning återfår styrspänning och beredskapsstatus utan att någon axel- eller cylinderrörelse utförs. Samma skrivning i styrsystemet blir däremot tveksam i en transfermaskin där frigöring av E-STOP lossar bromsen på en axel, återställer trycket till ventilerna eller gör det möjligt att slutföra ett avbrutet sekvenssteg.

Därför måste beslutet beskrivas inte bara i koden utan också i projektdokumentationen: i scheman, tillståndsmatrisen, beskrivningen av omstartssekvensen, HMI-meddelanden, rutiner för att åtgärda stopp och scenarier för acceptansprovning. Om denna logik inte går att förklara för användaren med en enda sammanhängande beskrivning — vad som sker när E-STOP frigörs, vad reset gör och vad som startar processen — är det oftast ett tecken på att funktionsuppdelningen är felaktig eller för komplex.

Först praktik, sedan normativ hänvisning

I praktiken avgörs sättet att återställa efter att nödstoppet har aktiverats inte av funktionsnamnet, utan av svaret på en enkel fråga: vad exakt händer med maskinen när nödstoppstryckknappen frigörs, och är detta tillstånd entydigt säkert. Det är ett konstruktionsbeslut, inte en användarpreferens eller en förenklad lösning som har förts över från ett tidigare projekt.

Teamet ska kunna beskriva hela händelsekedjan: stopp, bortkoppling av energi till den nivå som krävs enligt riskbedömningen, upplåsning av enheten, återställning av funktionen, bekräftelse av beredskap och först därefter ny start. Om något av dessa steg överlappar ett annat eller beror på styrsystemets standardbeteende uppstår utrymme för tvister vid godkännande och för driftfel som senare inte går att rätta till enbart med instruktionen.

Det syns tydligt vid modernisering av en befintlig cell där användaren förväntar sig kortare stopp efter att mindre störningar har avhjälpts, medan integratören föreslår automatisk återgång efter frigöring av E-STOP för att förenkla handhavandet. På en övergripande nivå ser lösningen rimlig ut: operatören tar bort orsaken till stoppet, låser upp enheten och maskinen återgår till beredskap utan någon extra resetknapp. Problemet visar sig först i mellanläget.

Om cylindern efter återställning av arbetsmediet återfår tryck i ett läge där den kan göra ett slag, en tillskjutning eller avlasta gripdonet utan någon ny avsikt från operatören, då är återgång till beredskap inte längre ett neutralt logiskt tillstånd. I praktiken blir det en del av processrörelsen, bara dold under ett annat namn. Ett sådant fall kräver vanligtvis inte kosmetiska ändringar i programmet utan en återgång till funktionsarkitekturen: att skilja upplåsning från reset, att införa en tydlig bekräftelse av beredskap eller att bygga om sekvensen för avluftning och återinkoppling av energi.

Det här exemplet visar också vilka konstruktionsunderlag som har betydelse. Det räcker inte att deklarera att ingenting startar efter frigöring om man vid acceptansprovningen inte har kontrollerat drivningar, ventiler, bromsar och sekvenssteg exakt i det ögonblick då E-STOP låses upp. I maskinens tekniska dokumentation bör det finnas en dokumenterad riskanalys för detta scenario, en beskrivning av tillstånden i HMI, ett provscenario efter frigöring av nödstoppet samt en tydlig bekräftelse från användaren på den överenskomna omstartslogiken. Det är just i dessa underlag som lösningens konsekvens senare bedöms: vid maskinövertagande, vid uppdatering av rutiner för tillträde till zonen eller LOTO-rutiner, vid undantag för inställnings- och serviceläge och, vid en incident, även när man utreder om operatören kunde förutse systemets beteende.

Först mot denna bakgrund är det meningsfullt att hänvisa till ISO 13850. Standarden tydliggör nödstoppets roll: det ska användas för att stoppa en farlig process eller begränsa följderna av en fara, och upplåsning av enheten får inte i sig skapa ett nytt farligt tillstånd. För konstruktören är den praktiska slutsatsen enkel: att E-STOP-enheten återgår till upplåst läge får i sig inte ersätta en medveten åtgärd som krävs enligt maskinens säkerhetskoncept.

I polska och europeiska förhållanden handlar det dock inte enbart om logisk överensstämmelse med standarden. Lika viktigt är att hela lösningen är konsekvent i förhållande till teknisk dokumentation enligt maskindirektivet, bruksanvisningen, resultaten av riskbedömningen samt, efter modernisering, omfattningen av uppdateringen av valideringen av säkerhetsfunktionerna. Det är dessa delar som senare granskas i relationen mellan leverantör och användare, inte en enskild skrivning i styrsystemets program.

Den praktiska slutsatsen är entydig. Om konstruktören inte kan visa vad som händer när E-STOP släpps, vilka energier som återkommer, vilka delar som kan ändra läge och varför detta tillstånd är säkert, ska man inte lägga till processuella undantag av typen “operatören ska då inte befinna sig i zonen”. Man måste gå tillbaka till funktionerna, sekvensen och ansvarsfördelningen mellan frigöring, återställning och omstart. Först en lösning som går att försvara i schemat, vid acceptansprov, i instruktionen och i riskbedömningen kan anses vara tekniskt mogen.