Sterownik bezpieczeństwa maszyny - jak dobrać układ safety?

Gdy otwarcie osłony, naciśnięcie grzybka awaryjnego albo przerwanie wiązki kurtyny ma zatrzymać maszynę, zwykły sterownik PLC nie powinien być jedynym ogniwem decydującym o bezpieczeństwie. Sterownik bezpieczeństwa monitoruje sygnały z urządzeń ochronnych i uruchamia zaprogramowaną reakcję, najczęściej odłączenie napędu lub przejście maszyny do stanu bezpiecznego. Wyjaśniam, jak działa takie rozwiązanie, czym różni się od przekaźnika, jak je dobrać oraz jakie błędy najczęściej pojawiają się podczas projektowania instalacji.

Jaką rolę pełni układ safety w maszynie

Najprościej mówiąc, urządzenie analizuje sygnały związane z ryzykiem i decyduje, czy maszyna może pracować. Nie steruje zwykle całym procesem technologicznym. Jego zadaniem jest nadzorowanie funkcji takich jak zatrzymanie awaryjne, kontrola osłon i ochrona operatora.

Do wejść podłącza się elementy wykrywające niebezpieczną sytuację. Mogą to być przyciski E-STOP, wyłączniki krańcowe drzwi, rygle elektromagnetyczne, kurtyny świetlne, skanery laserowe, przyciski oburęczne czy przełączniki trybu pracy. Wyjścia sterują natomiast stycznikami, zaworami pneumatycznymi, hamulcami albo funkcją STO falownika. STO, czyli Safe Torque Off, blokuje moment napędowy silnika bez konieczności odcinania całego zasilania falownika.

Ważna rzecz, którą często pomija się na początku projektu, jest taka, że sam moduł nie zapewnia bezpieczeństwa. Bezpieczny musi być cały łańcuch: czujnik, przewody, wejście, logika, wyjście oraz element wykonawczy. Jeżeli stycznik ma sklejone styki, a system tego nie wykrywa, maszyna może pozostać niebezpieczna mimo zastosowania certyfikowanego sterownika.

Jak wygląda reakcja na zagrożenie

Przykład z osłoną maszyny jest bardzo czytelny. Przy zamkniętych drzwiach dwa kanały wyłącznika przekazują prawidłowy sygnał, sterownik zezwala na pracę, a napęd może zostać uruchomiony. Po otwarciu osłony układ rozpoznaje zmianę, wyłącza wyjścia bezpieczeństwa i oczekuje na usunięcie przyczyny oraz świadomy reset ręczny.

Reset nie powinien automatycznie uruchamiać ruchu. Jego rolą jest jedynie potwierdzenie, że operator sprawdził strefę. Dopiero osobna komenda startu może rozpocząć cykl. To drobne rozdzielenie funkcji ma duże znaczenie, zwłaszcza gdy z miejsca resetowania nie widać całej strefy niebezpiecznej.

Co dzieje się po sygnale zagrożenia

Bezpieczny układ nie ogranicza się do prostego przełączenia styku. Monitoruje również zgodność kanałów, zwarcia, przerwy w przewodach i reakcję urządzeń wykonawczych. W praktyce oznacza to, że awaria pojedynczego elementu powinna zostać wykryta, a ponowne zezwolenie na pracę zablokowane.

W obwodach o wyższym poziomie bezpieczeństwa stosuje się często redundancję, czyli dwa niezależne kanały sygnałowe. Dla przycisku awaryjnego oznacza to dwa styki, a dla kurtyny świetlnej najczęściej dwa wyjścia OSSD. OSSD to monitorowane wyjście półprzewodnikowe, które potrafi sygnalizować między innymi zwarcie do plusa lub masy.

Funkcje, które powinny być zaplanowane

• Stop awaryjny zatrzymuje maszynę w sytuacji bezpośredniego zagrożenia.
• Monitorowanie osłon uniemożliwia pracę przy otwartych drzwiach lub zdjętej pokrywie.
• Kontrola urządzeń wykonawczych sprawdza, czy stycznik albo zawór rzeczywiście wrócił do bezpiecznego położenia.
• Blokada ponownego startu chroni przed samoczynnym uruchomieniem po zaniku i powrocie zasilania.
• Muting czasowo omija działanie wybranych czujników, na przykład podczas przejazdu palety przez kurtynę. Musi być ograniczony warunkami i czasem, bo źle zaprojektowany muting tworzy poważną lukę.
• Tryb konfiguracji lub nastawiania ogranicza prędkość, moment albo zakres ruchu, ale nie może być traktowany jako wygodne wyłączenie zabezpieczeń.

W mojej ocenie najwięcej problemów powoduje nie sama logika, lecz błędnie określony czas zatrzymania. Jeżeli narzędzie potrzebuje jeszcze 800 milisekund na zatrzymanie, kurtyna zamontowana tuż przy punkcie zgniotu nie rozwiąże problemu. Odległość urządzenia ochronnego trzeba policzyć na podstawie czasu reakcji całego układu i drogi dobiegu maszyny.

Przekaźnik czy programowalna jednostka

Przekaźnik bezpieczeństwa jest dobrym wyborem dla prostego układu z jednym lub kilkoma obwodami. Ma gotową logikę, niewiele parametrów i zwykle łatwo go uruchomić. Jeśli maszyna ma jeden grzybek awaryjny, jedną osłonę i dwa styczniki, dokładanie rozbudowanego systemu programowalnego może tylko zwiększyć koszt oraz trudność walidacji.

Programowalny moduł safety zyskuje przewagę, gdy maszyna ma wiele stref, kilka trybów pracy, kurtyny, rygle, muting, napędy z funkcjami bezpiecznymi i komunikację sieciową. Można wtedy zmieniać logikę bez przebudowy całej szafy, prowadzić diagnostykę i obsługiwać rozproszone moduły wejść i wyjść.

Nie polecam też zastępowania układu safety zwykłym PLC tylko dlatego, że ma wystarczającą liczbę wejść i wyjść. Standardowy sterownik może wspierać diagnostykę lub sterowanie procesem, ale bez odpowiedniej architektury, certyfikowanych modułów i procedur nie staje się automatycznie elementem bezpieczeństwa.

Jak dobrać rozwiązanie do konkretnej maszyny

Dobór zaczyna się od funkcji bezpieczeństwa, a nie od katalogu producenta. Najpierw trzeba opisać, co może zranić człowieka, w jakich warunkach powstaje zagrożenie i jaki stan ma zostać osiągnięty po wykryciu problemu. Dopiero wtedy wiadomo, czy wystarczy odcięcie momentu, szybkie zatrzymanie, upuszczenie ciśnienia czy mechaniczne zablokowanie ruchu.

Przeczytaj również: Stopnie swobody robota - jak dobrać liczbę osi?

Praktyczna kolejność prac

1. Wykonaj ocenę ryzyka dla wszystkich trybów pracy, w tym czyszczenia, przezbrajania i usuwania zacięć.
2. Podziel maszynę na funkcje bezpieczeństwa, na przykład zatrzymanie awaryjne, kontrolę drzwi i ochronę przed wejściem do strefy.
3. Określ wymagany poziom PL lub SIL. Wynika on z ryzyka, a nie z preferencji dotyczących marki sterownika.
4. Dobierz czujniki i elementy wykonawcze kompatybilne z wymaganym poziomem oraz środowiskiem pracy.
5. Sprawdź czasy reakcji urządzeń, przewodów, sterownika, styczników, falownika i mechaniki.
6. Zaplanuj reset i diagnostykę, tak aby operator rozumiał przyczynę zatrzymania, ale nie mógł przypadkowo ominąć ochrony.
7. Przetestuj każdy scenariusz awarii i zapisz wyniki w dokumentacji maszyny.

Przy wyborze zwracam uwagę na cztery rzeczy, które mają większe znaczenie niż sama liczba wejść. Są to certyfikowany poziom bezpieczeństwa, czas reakcji, sposób diagnostyki i dostępność części. Tani moduł bez wsparcia, oprogramowania i jasnej dokumentacji może w całym cyklu życia kosztować więcej niż droższe, ale dobrze opisane rozwiązanie.

Ceny również wymagają zdrowego rozsądku. Przykładowe oferty katalogowe pokazują, że jednostka safety może kosztować około 5790 zł netto, podczas gdy prosty standardowy PLC bywa dostępny za kilkaset lub około 2000 zł netto. Nie jest to jednak porównanie całego systemu. Do kalkulacji trzeba doliczyć moduły I/O, oprogramowanie, przewody, styczniki, uruchomienie, pomiary i walidację.

Normy i walidacja decydują o jakości

Najczęściej spotykane punkty odniesienia to PN-EN ISO 13849-1, która posługuje się poziomami PL, oraz PN-EN IEC 62061, związana z poziomami SIL dla funkcjonalnego bezpieczeństwa maszyn. Normy pomagają ocenić architekturę, niezawodność komponentów, zdolność diagnostyczną i odporność na uszkodzenia.

Sam napis „PL e” albo „SIL 3” na obudowie nie oznacza, że każda aplikacja osiągnie taki poziom. Liczy się konfiguracja całego obwodu, sposób podłączenia, parametry elementów, struktura programu oraz rzeczywiste zachowanie maszyny. Producent może dostarczyć certyfikowany komponent, ale odpowiedzialność za poprawne zastosowanie nadal pozostaje po stronie projektanta i integratora.

Walidacja powinna obejmować zarówno obliczenia, jak i testy praktyczne. Sprawdza się między innymi reakcję na przerwany kanał, zwarcie, sklejenie stycznika, otwarcie osłony podczas ruchu oraz próbę uruchomienia po powrocie zasilania. Dobrze prowadzony protokół pokazuje nie tylko, że maszyna się zatrzymała, ale też dlaczego zatrzymanie nastąpiło i czy nie było możliwe obejście funkcji.

Błędy, które psują nawet dobry projekt

Pierwszy błąd to wspólny reset dla kilku stref, z którego operator nie widzi wszystkich miejsc zagrożenia. Drugi to podłączanie zabezpieczeń w sposób jednokanałowy mimo wymagań aplikacji. Trzeci polega na prowadzeniu przewodów bezpieczeństwa razem z przewodami silnikowymi bez uwzględnienia ryzyka zakłóceń i uszkodzeń.

Często spotykam też mylenie zatrzymania kategorii 0 i kategorii 1. Pierwsze polega na natychmiastowym odcięciu energii napędu, drugie pozwala na kontrolowane zatrzymanie, a dopiero potem odłącza energię. Wybór zależy od zagrożenia i konstrukcji maszyny. Nagłe odcięcie zasilania nie zawsze jest najbezpieczniejsze, na przykład gdy może spowodować opadnięcie ciężkiego elementu.

• Nie używaj zwykłego przycisku start jako resetu funkcji bezpieczeństwa.
• Nie zakładaj, że zatrzymanie silnika oznacza zatrzymanie całej energii, szczególnie w pneumatyce i hydraulice.
• Nie kasuj diagnostyki przez restart zasilania bez ustalenia przyczyny błędu.
• Nie umieszczaj wyłącznika osłony w miejscu, w którym można go łatwo zablokować lub ominąć.
• Nie pomijaj trybów serwisowych, bo właśnie wtedy operator często pracuje najbliżej ruchomych części.

Co sprawdzić przed pierwszym uruchomieniem

Przed dopuszczeniem maszyny do pracy przechodzę przez prostą listę kontrolną. Każdy element ochronny powinien mieć jednoznaczną funkcję, każdy sygnał powinien być widoczny w diagnostyce, a ponowny start musi wymagać świadomego działania. Jeżeli nie da się szybko ustalić, dlaczego maszyna stanęła, problemem jest nie tylko wygoda obsługi, ale także bezpieczeństwo serwisu.

Najlepsze rozwiązanie to takie, które jest dopasowane do ryzyka i możliwe do utrzymania przez cały okres eksploatacji. Przy małej maszynie wystarczy często dobrze dobrany przekaźnik, natomiast złożona linia potrzebuje programowalnej logiki, rozproszonej diagnostyki i starannie opisanych procedur. Sam sprzęt jest dopiero początkiem, a o realnej ochronie decydują poprawny projekt, testy i konsekwentne używanie zabezpieczeń.