Funkcja STO w falowniku: co zapewnia, a czego nie zastępuje w ochronie maszyny

Wyobraź sobie sytuację, w której operator otwiera osłonę maszyny, a falownik natychmiast otrzymuje sygnał bezpieczeństwa. Silnik przestaje wytwarzać moment obrotowy, lecz wał, tarcza tnąca, rolka albo wrzeciono nadal mogą się obracać. W innym miejscu mechanik widzi na panelu status STO i uznaje, że napęd został odłączony od napięcia, chociaż w jego wnętrzu nadal może znajdować się energia elektryczna. Jeszcze inny problem pojawia się przy osi pionowej: silnik przestaje napędzać mechanizm, ale ciężar podnośnika zaczyna opadać.

Te przykłady pokazują, dlaczego funkcja STO w falowniku jest bardzo ważnym, lecz ściśle określonym środkiem ochronnym. Safe Torque Off odbiera napędowi zdolność do generowania momentu. Nie jest jednak uniwersalnym wyłącznikiem maszyny, hamulcem mechanicznym, blokadą energii ani zabezpieczeniem przed każdym ruchem. Prawidłowa ocena jej przydatności wymaga odpowiedzi na kilka pytań: jaki ruch ma zostać zatrzymany, ile energii pozostaje w układzie, czy istnieje ryzyko opadania osi, czy podczas interwencji występuje zagrożenie elektryczne i jaki poziom niezawodności musi mieć funkcja bezpieczeństwa?

Najbezpieczniej traktować STO jako jeden element architektury ochronnej. Jego rzeczywisty zakres wynika z dokumentacji konkretnego falownika, projektu obwodu bezpieczeństwa, oceny ryzyka, wymaganej kategorii zatrzymania oraz sposobu użytkowania maszyny.

Wskazówka 1: Zdefiniuj fizyczne działanie STO – odcięcie momentu to nie hamowanie

Zasada działania na poziomie tranzystorów IGBT

Typowy falownik steruje silnikiem przez układ energoelektroniczny z tranzystorami mocy, często IGBT albo innymi elementami przełączającymi. Sterownik generuje impulsy sterujące, które otwierają i zamykają odpowiednie tranzystory w mostku wyjściowym. W ten sposób z napięcia stałego na szynie DC powstaje przebieg prądu zasilający silnik, a jego częstotliwość, amplituda i faza mogą być regulowane.

Wejście STO ingeruje w tor odpowiedzialny za możliwość wysterowania elementów mocy. Po prawidłowym wyzwoleniu funkcji impulsy sterujące bramkami zostają zablokowane albo zostaje przerwane bezpieczne zezwolenie na ich generowanie. Szczegółowa realizacja zależy od producenta, ale cel jest ten sam: uniemożliwić falownikowi dostarczenie energii, która mogłaby wytworzyć moment obrotowy w silniku.

STO nie musi oznaczać mechanicznego rozłączenia przewodów silnikowych. Nie jest też tym samym co odłączenie zasilania sieciowego falownika. Układ mocy może pozostać pod napięciem, a wirnik może nadal obracać się pod wpływem bezwładności, sił zewnętrznych lub obciążenia napędzającego silnik. Funkcja odpowiada zatem na konkretne zagrożenie: możliwość aktywnego napędzania, a nie na wszystkie możliwe źródła ruchu.

Co dzieje się z napędem w ułamku sekundy po wyzwoleniu sygnału STO?

Po pojawieniu się prawidłowego sygnału STO układ bezpieczeństwa przechodzi do stanu, w którym falownik nie powinien generować momentu napędowego. Silnik przestaje być aktywnie sterowany. Jeśli wirnik obracał się przed zadziałaniem funkcji, ruch może być kontynuowany przez pewien czas. Czas ten zależy między innymi od momentu bezwładności, oporów mechanicznych, prędkości początkowej, obciążenia i konstrukcji maszyny.

W przypadku silnika indukcyjnego napędzanego falownikiem zablokowanie impulsów nie oznacza, że wirnik natychmiast zatrzyma się w miejscu. W przypadku silników synchronicznych, serwonapędów lub układów z obciążeniem zewnętrznym konieczna jest jeszcze dokładniejsza analiza, ponieważ element może być obracany przez mechanizm, grawitację albo drugi napęd. Samo STO ogranicza zdolność napędu do wytwarzania momentu, ale nie usuwa energii kinetycznej zgromadzonej w ruchomych częściach.

Przed zastosowaniem funkcji trzeba więc rozdzielić dwa pojęcia:

• odcięcie momentu – falownik nie może aktywnie napędzać silnika;
• zatrzymanie ruchu – wszystkie istotne części maszyny osiągnęły bezpieczny stan spoczynku.

W niektórych urządzeniach te dwa zdarzenia występują niemal jednocześnie. W innych pomiędzy wyzwoleniem STO a pełnym zatrzymaniem upływa kilka, kilkanaście albo więcej sekund. Z punktu widzenia oceny ryzyka jest to zasadnicza różnica.

STO jako realizacja zatrzymania kategorii 0

W terminologii normy PN-EN 60204-1 funkcja STO jest zwykle kojarzona z zatrzymaniem kategorii 0, czyli niekontrolowanym zatrzymaniem przez natychmiastowe odcięcie energii napędzającej. Nie oznacza to, że każda sytuacja z wejściem STO automatycznie spełnia wszystkie wymagania dla konkretnej funkcji bezpieczeństwa. Trzeba jeszcze sprawdzić sposób sterowania, diagnostykę, odporność na uszkodzenia i parametry całego obwodu.

Określenie „niekontrolowane” nie oznacza „chaotyczne”. Oznacza, że zatrzymanie następuje bez wcześniejszej kontrolowanej fazy zwalniania. Falownik nie ma już wykonywać rampy hamowania ani utrzymywać określonej prędkości. Zostaje pozbawiony możliwości wytwarzania momentu, a reszta procesu zatrzymania odbywa się dzięki oporom, hamulcom lub innym elementom mechanicznym.

Jeżeli maszyna wymaga najpierw kontrolowanego zmniejszenia prędkości, samo STO może być niewystarczające. Przykładowo gwałtowne odcięcie momentu w urządzeniu z dużą energią kinetyczną może spowodować długi wybieg, przesunięcie materiału, utratę stabilności albo niebezpieczne zachowanie narzędzia. W takich przypadkach rozważa się funkcję SS1 lub inne rozwiązanie dostosowane do oceny ryzyka.

Przenośnik taśmowy i wentylator o dużej bezwładności – dwa różne skutki STO

Na lekkim przenośniku taśmowym z niewielkim wałkiem i małym ładunkiem po zadziałaniu STO ruch może ustać bardzo szybko. Opory w łożyskach, tarcie taśmy i obciążenie transportowanym materiałem wytracą energię w krótkim czasie. Nie wolno jednak zakładać tego bez pomiaru lub obliczeń. Prędkość taśmy, masa ładunku i nachylenie przenośnika mogą radykalnie zmienić rezultat.

Wentylator przemysłowy, duża tarcza wirująca albo wirówka zachowują się inaczej. Łopaty, wirnik i wał mogą mieć znaczny moment bezwładności. Po STO silnik nie napędza już układu, ale sam wirnik nadal się obraca. Jeżeli operator może otworzyć osłonę przed pełnym zatrzymaniem, potrzebny jest interlock z funkcją ryglowania, monitorowanie prędkości lub odpowiednio dobrana odległość od strefy niebezpiecznej.

Praktyczne pytanie brzmi: czy osoba może dosięgnąć zagrożenia, zanim element zatrzyma się mechanicznie? Jeśli odpowiedź brzmi „tak” albo nie ma pewności, STO nie powinno być traktowane jako samodzielne rozwiązanie dostępu do strefy.

Wskazówka 2: Nie myl odcięcia momentu z odłączeniem zasilania – ryzyko elektryczne pozostaje

Szyna DC pod napięciem mimo aktywnego STO

Aktywacja STO zwykle nie odłącza prostownika wejściowego falownika od sieci. W typowej strukturze napędu napięcie przemienne jest prostowane, a następnie magazynowane na szynie DC w kondensatorach. Dopiero z tej szyny stopień wyjściowy tworzy przebieg zasilający silnik. Jeśli STO blokuje sterowanie tranzystorami, nie oznacza to automatycznego rozładowania kondensatorów.

W efekcie na elementach wewnętrznych może przez pewien czas utrzymywać się niebezpieczne napięcie. Czas rozładowania zależy od konstrukcji falownika, rezystorów rozładowczych, energii zgromadzonej w obwodzie oraz warunków awaryjnych. Kontrolka, komunikat na panelu albo zgaśnięcie wyświetlacza nie stanowią wystarczającego dowodu, że napięcie zniknęło.

Przy planowaniu kolejnych kroków pomocny może być tekst: Dlaczego same wyłączniki awaryjne nie zapewnią bezpieczeństwa maszyn bez oceny ryzyka.

Niektóre urządzenia mają funkcję automatycznego rozładowania, lecz jej istnienie nie zwalnia z przestrzegania instrukcji producenta i procedury pomiarowej. Przed pracą przy przewodach, zaciskach lub elementach wewnątrz szafy trzeba odłączyć właściwe źródła energii, zabezpieczyć je przed ponownym załączeniem i zweryfikować brak napięcia odpowiednim przyrządem.

Czy mechanik dotykający zacisków silnika przy aktywnym STO jest bezpieczny?

Nie należy uznawać takiej sytuacji za bezpieczną wyłącznie dlatego, że STO jest aktywne. Zaciski wejściowe falownika, szyna DC, elementy mocy i niektóre obwody pośrednie mogą pozostawać pod napięciem. W zależności od topologii napędu także zaciski wyjściowe mogą przy określonych uszkodzeniach lub warunkach mieć potencjał stwarzający zagrożenie.

STO jest funkcją ograniczającą moment, a nie funkcją bezpiecznego odłączenia źródła energii elektrycznej. Jeżeli celem jest wymiana silnika, odłączenie przewodów, pomiar izolacji, ingerencja w falownik albo praca w strefie dostępnej dla części elektrycznych, potrzebne jest odłączenie i zabezpieczenie zasilania zgodnie z procedurą zakładową.

Przed rozpoczęciem pracy osoba upoważniona powinna ustalić między innymi:

• który rozłącznik odcina wszystkie właściwe źródła energii;
• czy występuje zasilanie pomocnicze, obwód sterowania, UPS albo zewnętrzne źródło napięcia;
• czy kondensatory i inne elementy magazynujące energię zostały rozładowane;
• jak potwierdzić brak napięcia przed dotknięciem przewodów;
• czy po odłączeniu nie istnieje możliwość samoczynnego powrotu napięcia.

STO, PN-EN 61800-5-2 i bezpieczne odłączanie energii

Norma PN-EN 61800-5-2 opisuje funkcje bezpieczeństwa związane z systemami napędowymi, w tym Safe Torque Off. STO ma określone zadanie funkcjonalne: zapobiegać generowaniu momentu przez napęd. Ocena tej funkcji obejmuje między innymi strukturę kanałów, diagnostykę, zachowanie przy uszkodzeniach oraz deklarowane parametry bezpieczeństwa.

Inny problem opisuje PN-EN ISO 14118, dotycząca zapobiegania niezamierzonemu uruchomieniu. W praktyce oznacza to potrzebę kontrolowania energii i możliwości ponownego startu, a nie tylko wyłączenia sygnału sterującego. Dlatego funkcja STO i fizyczne odłączenie zasilania nie są konkurencyjnymi nazwami tego samego rozwiązania.

Wskazówka 3: Skontroluj czas wybiegu – kiedy STO musi współpracować z SS1 lub hamulcem

Nie wystarczy sprawdzić, czy po zadziałaniu STO silnik przestaje być napędzany. Trzeba ustalić, po jakim czasie każda część stwarzająca zagrożenie osiąga bezpieczny stan. Dotyczy to nie tylko wału silnika, lecz także narzędzia, uchwytu, taśmy, piły, wirnika, materiału i elementów przemieszczanych przez maszynę.

Jak ocenić czas wybiegu w praktyce?

Najprostszą metodą jest pomiar czasu od wyzwolenia funkcji bezpieczeństwa do zatrzymania elementu, który może być dostępny dla operatora. Pomiar należy wykonać w najmniej korzystnych warunkach, na przykład przy maksymalnej prędkości, największym obciążeniu, rozgrzanym układzie albo przy zużytych elementach hamujących.

Warto rejestrować nie tylko sam czas zatrzymania, ale również drogę przebytą w tym okresie. Dla przenośnika będzie to odległość, na jaką przesunie się taśma. Dla suwaka lub osi liniowej istotna może być droga dojechania do punktu zgniotu. Wynik trzeba następnie porównać z odległością od strefy niebezpiecznej i sposobem dostępu operatora.

Przykładowo tarcza tnąca obracająca się jeszcze przez kilka sekund po STO może nadal mieć wystarczającą energię, aby zranić osobę, która otworzy osłonę. W takim przypadku sam sygnał STO nie zapewnia bezpiecznego dostępu. Potrzebna może być osłona ryglowana do czasu zatrzymania, czujnik prędkości albo dodatkowy układ hamowania.

Kiedy wybrać SS1 zamiast natychmiastowego STO?

Jeżeli gwałtowne odcięcie momentu nie jest najlepszym sposobem zatrzymania, można zastosować SS1. Funkcja ta pozwala najpierw przeprowadzić kontrolowane zwalnianie napędu, a po zakończeniu określonej fazy doprowadzić do zadziałania STO. Dzięki temu energia ruchu jest stopniowo ograniczana, a obciążenie mechaniczne może być mniejsze.

SS1 jest przydatne między innymi wtedy, gdy:

• maszyna ma dużą energię kinetyczną i długi wybieg;
• nagła utrata momentu mogłaby spowodować uszkodzenie produktu lub narzędzia;
• zatrzymanie powinno odbywać się po kontrolowanej rampie;
• operator musi uzyskać przewidywalny czas zatrzymania;
• ruch powinien zostać zakończony w określonej pozycji albo z ograniczoną prędkością.

Przykładem może być maszyna rozwijająca materiał z dużej rolki. Natychmiastowe odcięcie momentu może pozostawić naprężenia, spowodować gwałtowne przemieszczenie materiału albo wywołać jego zerwanie. Kontrolowane zwalnianie, a następnie przejście do STO, może lepiej odpowiadać rzeczywistemu przebiegowi zagrożenia.

Hamulec i monitorowanie prędkości jako uzupełnienie

Hamulec mechaniczny może skrócić czas wybiegu, ale nie należy automatycznie uznawać każdego hamulca za element funkcji bezpieczeństwa. Trzeba sprawdzić jego zdolność do zatrzymania konkretnej masy, odporność na zużycie, czas zadziałania oraz zachowanie przy uszkodzeniu przewodu, cewki lub sterowania.

W układach, w których dostęp do strefy jest możliwy dopiero po zatrzymaniu, przydatne bywa monitorowanie prędkości zerowej. Osłona może zostać odryglowana dopiero po potwierdzeniu, że wał lub inny niebezpieczny element porusza się z prędkością mieszczącą się w bezpiecznym zakresie. Sam upływ zaprogramowanego czasu może być niewystarczający, jeżeli warunki pracy zmieniają się między cyklami.

Praktyczny sens jest prosty: funkcja zatrzymania powinna odpowiadać rzeczywistemu przebiegowi ruchu. SS1 służy do kontrolowanego zwalniania, hamulec do szybszego wytracenia energii, a monitorowanie prędkości do potwierdzenia, że dostęp jest już bezpieczny. Te elementy mogą współpracować ze STO, ale nie są jego automatyczną częścią.

Wskazówka 4: Zabezpiecz osie pionowe przed opadaniem grawitacyjnym

Oś pionowa wymaga osobnej analizy, ponieważ po utracie momentu napędowego obciążenie może zacząć przesuwać się w dół pod wpływem grawitacji. Dotyczy to między innymi głowic obróbczych, platform podnoszących, chwytaków, stołów roboczych, ramion robotów i mechanizmów z przeciwwagą.

Warto przeczytać również powiązany artykuł: Projektowanie wygrodzeń i osłon: minimalne odległości, wysokości oraz odporność mechani….

Dlaczego samo STO nie utrzymuje ładunku na wysokości?

Jeżeli ciężar jest utrzymywany wyłącznie przez moment silnika, zadziałanie STO może usunąć warunek, który dotychczas równoważył siłę grawitacji. Oś może wtedy opaść, zsunąć się albo wykonać niekontrolowany ruch. Prędkość opadania zależy od masy, przełożenia, tarcia, rodzaju przekładni i położenia obciążenia.

Przykładowo pionowy suwak z narzędziem może po utracie momentu przesunąć się o kilka centymetrów. Taki ruch wystarczy, aby zgnieść dłoń pozostawioną w obszarze roboczym. W przypadku cięższej platformy nawet niewielka prędkość opadania może stworzyć poważne zagrożenie dla osoby znajdującej się pod obciążeniem.

Jak zatrzymać i utrzymać oś pionową?

W zależności od konstrukcji stosuje się kilka uzupełniających środków:

• hamulec sprężynowy zwalniany elektrycznie – po zaniku zasilania lub sygnału zezwolenia przechodzi do stanu hamowania;
• mechaniczną blokadę osi – rygiel, trzpień, zapadkę albo podporę, która fizycznie przenosi obciążenie;
• przeciwwagę lub siłownik równoważący – ograniczające siłę powodującą opadanie;
• funkcję bezpiecznego sterowania hamulcem – jeżeli falownik i układ bezpieczeństwa ją obsługują;
• ograniczenie dostępu – osłonę, ryglowanie lub procedurę uniemożliwiającą wejście pod podniesiony element.

Sam hamulec silnika może być niewystarczający, jeżeli nie jest przystosowany do zatrzymywania obciążenia w danym kierunku. Należy uwzględnić moment statyczny, możliwe obciążenie dynamiczne, zużycie okładzin oraz wymagany czas zadziałania. W niektórych maszynach hamulec służy tylko do postoju, a bezpieczne podtrzymanie zapewnia dopiero dodatkowa blokada mechaniczna.

Przykład: pionowa oś z ciężką głowicą

Załóżmy, że głowica obrabiarki jest utrzymywana przez serwonapęd, a hamulec znajduje się na wale silnika. Po żądaniu zatrzymania układ powinien najpierw ograniczyć prędkość, następnie bezpiecznie załączyć hamulec i dopiero potem pozbawić napęd możliwości wytwarzania momentu. Kolejność sygnałów ma znaczenie: zbyt wczesne odcięcie momentu może pozwolić głowicy opaść, zanim hamulec skutecznie przejmie obciążenie.

Jeśli dostęp do przestrzeni pod głowicą jest możliwy, warto przewidzieć także niezależną podporę serwisową. Podczas prac konserwacyjnych nie należy polegać wyłącznie na hamulcu, sterowaniu napędu ani aktywnym STO. Element powinien zostać mechanicznie podparty zgodnie z procedurą producenta maszyny.

Przy projektowaniu układu trzeba więc sprawdzić nie tylko, czy napęd przestaje wytwarzać moment, lecz także co dzieje się z obciążeniem po jego utracie. Dopiero połączenie odpowiedniego zatrzymania, podtrzymania osi i kontroli dostępu tworzy rozwiązanie adekwatne do zagrożenia.

Sprawdź działanie całego łańcucha bezpieczeństwa, nie tylko sygnału STO

Poprawne podłączenie wejść STO nie potwierdza jeszcze, że cała funkcja bezpieczeństwa działa zgodnie z założeniami. Test powinien obejmować przycisk zatrzymania awaryjnego, wyłączniki osłon, sterownik bezpieczeństwa, falownik, hamulec oraz elementy wykonawcze odpowiedzialne za utrzymanie obciążenia.

Podczas próby warto zweryfikować kolejno:

• czy każde urządzenie inicjujące zatrzymanie powoduje właściwą reakcję napędu;
• czy oba kanały obwodu bezpieczeństwa są monitorowane i czy uszkodzenie jednego z nich jest wykrywane;
• czy hamulec załącza się we właściwym momencie i utrzymuje oś po zatrzymaniu;
• czy otwarcie osłony pozostaje zablokowane do czasu spełnienia warunku bezpiecznego dostępu;
• czy po skasowaniu przyczyny zatrzymania maszyna nie uruchamia się samoczynnie;
• czy ponowny start wymaga świadomego działania operatora w przewidzianym miejscu.

Próba uszkodzeniowa ma znaczenie praktyczne

Weryfikacja nie powinna ograniczać się do normalnego cyklu pracy. Należy sprawdzić również reakcję na przerwę w przewodzie, rozbieżność kanałów, utratę zasilania sterowania, błąd hamulca oraz próbę otwarcia osłony w czasie ruchu. Sposób wykonywania takich testów musi być opisany w dokumentacji i przeprowadzony przez osoby posiadające odpowiednie kompetencje.

Przykładowo przerwany przewód jednego kanału może nie zatrzymać maszyny w identyczny sposób jak naciśnięcie przycisku awaryjnego. Układ powinien jednak wykryć niezgodność i uniemożliwić ponowne zezwolenie na pracę do czasu usunięcia usterki. Taki test pokazuje, czy zabezpieczenie reaguje również na uszkodzenia, a nie tylko na prawidłowy sygnał zatrzymania.

Ustal warunki resetu i ponownego uruchomienia

Reset funkcji bezpieczeństwa nie powinien być traktowany jako polecenie startu. Jego zadaniem jest skasowanie zatrzymania po sprawdzeniu, że przyczyna zadziałania została usunięta, a strefa niebezpieczna jest wolna od osób i przedmiotów.

W praktyce należy rozdzielić trzy czynności:

1. usunięcie przyczyny zatrzymania, na przykład zamknięcie osłony lub zwolnienie przycisku awaryjnego;
2. reset układu bezpieczeństwa wykonany z miejsca, z którego można obserwować zagrożoną strefę;
3. osobne polecenie startu wydane dopiero po świadomej decyzji operatora.

Jeżeli po resecie napęd rusza bez dodatkowego polecenia, należy sprawdzić logikę sterowania, podtrzymanie sygnału startu oraz sposób obsługi komendy ruchu przez falownik. Szczególnej uwagi wymagają automatyczne cykle, układy nadrzędne PLC i komunikacja sieciowa, ponieważ polecenie rozpoczęcia pracy może nadal oczekiwać w pamięci sterownika.

Opisz ograniczenia STO na schemacie i w instrukcji maszyny

Operator oraz służby utrzymania ruchu powinny wiedzieć, co oznacza zadziałanie STO w konkretnej maszynie. Sama nazwa funkcji może być niewystarczająca, jeżeli nie wiadomo, czy zatrzymanie obejmuje wybieg, hamulec, opuszczanie osi, ryglowanie osłony i możliwość występowania napięcia w części elektrycznej.

W dokumentacji warto wskazać:

• które urządzenia wyzwalają STO;
• czy zastosowano SS1, hamulec, monitorowanie prędkości lub blokadę mechaniczną;
• jaki jest zmierzony czas zatrzymania i czas odryglowania osłony;
• jakie elementy mogą poruszać się po zadziałaniu zatrzymania;
• jakie czynności są wymagane przed wejściem do strefy niebezpiecznej;
• kiedy konieczne jest pełne odłączenie energii i zastosowanie procedury blokowania oraz oznakowania.

Przydatne jest również umieszczenie przy maszynie krótkiej informacji dla operatora: jakie zdarzenie powoduje zatrzymanie, jak wykonać reset i czego nie wolno uznawać za potwierdzenie bezpiecznego stanu. Szczegółowe czynności serwisowe powinny pozostać w instrukcji i procedurach zakładowych.

Wykonaj końcową kontrolę przed przekazaniem maszyny do pracy

Przed uruchomieniem produkcyjnym można zastosować krótką listę kontrolną:

• czy czas zatrzymania został zmierzony w najniekorzystniejszych warunkach;
• czy zatrzymanie obejmuje wszystkie elementy, do których operator może uzyskać dostęp;
• czy osie pionowe mają skuteczne zabezpieczenie przed opadaniem;
• czy hamulec został dobrany do obciążenia i sprawdzony także pod kątem zużycia;
• czy ryglowanie osłon zależy od rzeczywistego bezpiecznego stanu, a nie wyłącznie od upływu czasu;
• czy reset nie powoduje samoczynnego startu;
• czy wyniki prób, ustawienia i ograniczenia funkcji zostały zapisane w dokumentacji.

Tak przeprowadzona kontrola pozwala ocenić STO jako część kompletnego układu ochronnego: z określonym sposobem zatrzymania, zabezpieczeniem obciążeń, kontrolą dostępu i jasno opisanymi warunkami ponownego uruchomienia.